MISE EN ŒUVRE DE LA NOUVELLE APPROCHE D ANALYSE DES RISQUES DANS LES INSTALLATIONS CLASSEES Principes généraux pour l élaboration des études de dangers Références : auteur : Jean Claude Couronneau Société Fluidyn Principes généraux pour l élaboration et la lecture des études de danger (Document MEDD du 25 juin 2003) Loi n 2003-699 du 30 juillet 2003 en matière de prévention des risques technologiques dans les installations classées Glossaire technique proposé par le GT méthodologie du MEDD Méthodes pour l évaluation et la prévention des risques accidentels (INERIS septembre 2001) 1
1. Introduction Suite à l explosion de Toulouse dans le sud de la France le 21 septembre 2001 (explosion d un stockage de nitrate hors spécification faisant 30 Morts), une nouvelle loi sur les risques technologiques vient d être adoptée par le gouvernement français le 30 juillet 2003. Dans le même temps, un document du MEDD publiée le 25 juin 2003 défini plus clairement le contenu des études de danger. Un des aspects important de cette loi et surtout du document du 25 juin concerne l analyse des risques des installations classées qui demande d étudier tous les scénarios «vraisemblables» et d estimer la probabilité d occurrence de l événement étudié. Pour mettre en œuvre ces nouveaux textes nous proposons une méthode structurée qui va consister à faire un inventaire exhaustif de tous les dangers présents dans les installations étudiées, à en estimer les conséquences potentielles et à les classer en terme de Gravité/probabilité à l aide d une matrice adaptée. Ce classement permettra d identifier tous les scénarios présentant des conséquences potentielles inaceptables sur lesquels une étude détaillée des risques sera réalisée en introduisant la notion de barrières. 2. Mise en œuvre de la méthode La mise en œuvre de cette analyse est basée sur le principe du nœud papillon, concept développé par SHELL pour représenter les différentes étapes de la gestion des risques dans une installation. D A N G E R S Evènement Principal BARRIERES C O N S E Q U E N C E S MENACES ARBRE DES CAUSES ARBRES D EVENEMENTS Principe du Nœud Papillon 2
Il part de l identification des dangers, décrit les différentes circonstances (ou menaces) ainsi que les barrières et causes d escalation pour aboutir à l événement principal. De là, un certain nombre de mesures de prévention et de protection permettent d atténuer les conséquences qui seront in fine traitées par l organisation de gestion de crise de l établissement. L analyse des risques est réalisée au travers de onze étapes matérialisées dans le logigramme cidessous. 3
Blessures légères (Soin infirmerie ou ASA) blessures mineures (AAA) Blessures graves (Arrêt de travail prolongé) Dommages légers. Pas d'arrêt de production (coût < 10.000 ) Dommages mineurs. Bref arrêt de production (coût < 100.000 ) dommages localisés. Arrêt partiel d'unité (peut redémarrer et coût <1 M ) Dommages importants (pertes partielle d'opération 2 semaines d'arrêt coût < 10 M ) dommages énormes (perte partielle ou totale d'opération et coût > 10M Pas d'effet (ni environement ni coût) Faibles effets (interne au site et coût négligeable) Effets mineurs effets localisés effets importants effets énormes pas d'impact impact faible impact limité impact important impact national impact inter national Pas connu dans votre industrie S'est produit dans votre industrie Arrivé dans votre Compagnie Arrivé plusieurs fois par an dans votre compagnie Arrivé plusieurs fois par an sur votre site Nature du danger } Matérialisation du danger Identification des menaces Identification de l événement redouté Mesures prises pour la construction, conception (normes, règlements, standards, ) études/sécurité procédé, procédures, consignes, SGS etc. Définition du scénario PPI Taux de défaillances des éléments de maîtrise des risques Modèles de quantification Seuils à risques Ėtape 1 Identification et caractérisation des potentiels de danger Etape 2 Réduction des potentiels de danger Etape 3 Estimation des conséquences Etape 4 Evaluation préliminaire des risques Etape 5 Sélection des systèmes critiques Etape 6 Etude détaillée de réduction des risques Etape 7 Quantification des effets redoutés Etape 8 Calculer les distances à risques Etape 9 Evaluation de la gravité et de la probabilité Gravité HAZID, HAZOP, APR, {Autres méthodes. Etudes technicoéconomique Accidentologie/ retour d expérience Grille de criticité (conséquences/probabilités) CONSEQUENCES 0 Pas de blessé Pas de dommage 1 2 3 Personnes 4 Un à trois décès 5 Plusieurs décès Biens Environnement Réputation PROBABILITE A B C D E Définir les barrières et définir les EIPS PPI/PPRT Etape 10 Acceptabilité du risque OUI " NON Etape 11 POI, PPI, Résumé non technique pour PPRT Estimation du coût des dommages matériels potentiels Mesures complémentaires 4
Etape 1 : Identification et caractérisation des potentiels de danger L identification des dangers est le processus permettant de trouver, lister et caractériser les situations, conditions ou pratiques qui comportent en elles-même un potentiel à causer des dommages aux personnes, aux biens ou à l'environnement. Ces situations, conditions ou pratiques sont des dangers. Tous les dangers potentiels des installations sont identifiés et caractérisés en n oubliant pas ceux liés aux modes d approvisionnements et d expéditions des matières susceptibles de générer des dangers y compris par effet domino. A ce stade de l analyse l évaluation de la gravité du potentiel de danger fera abstraction de toutes barrières déjà en place. Cette étape permettra : d identifier la nature des dangers (possibilité d utiliser une check-list), de définir la matérialisation de ces dangers, d identifier les différentes circonstances ou menaces susceptibles de faire se matérialiser le danger, d identifier les évènements redoutés, d identifier les conséquences possibles suite à la survenance de ces évènements redoutés. Cette étape sera mise en œuvre à l aide de techniques adaptées et sera conduite par une équipe multidisciplinaire qui pourra utiliser une check-list pour identifier les dangers présents sur l installation à tous les stades de son exploitation. Cela constitue le point de départ de la réalisation d un registre d identification des dangers. Etape 2 : Réduction des potentiels de danger Pour les risques identifiés comme présentant un fort potentiel de danger, cette étape consiste à tenter de : supprimer ou substituer aux procédés et aux produits dangereux, à l'origine de ces dangers potentiels, des procédés ou produits présentant des risques moindres ; réduire autant qu il est possible les quantités de matières dangereuse en cause, Pour cette étape on pourra avoir recours à une érude technico-économique. Etape 3 : Estimation des conséquences potentielles Cette étape consiste à faire une évaluation des conséquences potentielles de la libération de la totalité du danger présent dans le système étudier. Ne seront retenus que les scénarios physiquement vraisemblables, (par exemple un BLEVE de réservoir sous talus n est pas physiquement vraisemblable) Il sera en particulier tenu compte de l accidentologie de l établissement et de la branche d activité concernée. Les conséquences sont évaluées en terme de gravité et classées selon leurs effets (thermique, mécanique, toxique ). Cette évaluation des conséquences sera faite sur les personnes, les biens et l environnement. 5
Etape 4 : Evaluation préliminaire des risques Cette étape va consister à comparer le risque potentiel à des critères de risques définis. Pour chacune des conséquences attachée à un danger, le niveau de risque potentiel sera évalué. Pour cela on aura recours à une matrice de criticité adaptée à l installation objet de l étude. Cette matrice propre à l entreprise est l un des éléments de la politique HSE de l entreprise. Pour chacune des conséquences du scénario étudié, la gravité et la probabilité seront évalués de façon croissante. Chacune des conséquences ainsi évaluée sera positionnée dans la grille. la zone verte correspond à un risque faible jugé comme acceptable sous réserve d avoir du personnel compétent d assurer sa formation et de mettre en place les procédures nécessaires, la zone orange correspond à un risque moyen pour lequel il sera nécessaire de démontrer que le système de management de la sécurité est bien en place et qu il est bien appliqué et que le risque a été ramené au plus bas niveau possible eu égard aux conséquences financières de son acceptation et au coût qu engendrerait toute réduction supplémentaire(principe d ALARP), la zone rouge correspond à un risque intolérable qui va nécessiter une étude détaillée de chacun des scénarios présents dans cette zone avec pour objectif de le rendre acceptable. Pour chacun des scénarios le registre d identification sera complété par les valeurs des niveaux de risque. Ci dessous un exemple de matrice de criticité Gravité Personnes CONSEQUENCES Biens Environnement PROBABILITE A B C D E Pas connu dans votre industrie S'est produit dans votre industrie Arrivé dans votre Compagnie Arrivé Arrivé plusieurs fois plusieurs fois par an dans par an sur votre votre site compagnie 0 Pas de blessé Pas de dommage Pas d'effet (ni environement ni coût) 1 Blessures légères (Soin infirmerie ou ASA) Dommages légers. Faibles effets (interne au site et coût négligeable) 2 blessures mineures (AAA) Dommages mineurs. Effets mineurs 3 Blessures graves (Arrêt de travail prolongé) dommages localisés. effets localisés 4 Un à trois décès Dommages importants effets importants 5 Plusieurs décès dommages énormes effets énormes 6
Cette approche est basée sur l expérience et le jugement de l équipe multidisciplinaire. Etape 5 : Sélection des systèmes critiques A ce stade de l étude, comme nous venons de le voir dans l étape précédente chacune des conséquences est positionnée dans la grille de criticité. Tous les scénarios dont les conséquences sont situées dans la zone rouge seront considérés comme critiques et seront soumis aux étapes suivantes. Par précautions et compte tenu des incertitudes liées à cette approche nous conseillons d inclure dans les scénarios critiques tous ceux situés en zone orange pour lesquelles une dégradation de la gravité ou de la probabilité les placeraient dans la zone intolérable. Tous ces scénarios identifiés comme critiques seront répertoriés dans un registre des incidents majeurs et feront l objet de la suite de l étude. Etape 6 : Etude détaillée de réduction des risques A partir des scénarios identifiés comme critiques dans l étape précédente une démarche itérative de réduction des risques sera conduite. L'étude détaillée de réduction des risques porte sur toutes leurs conditions d'exploitation (phases transitoires et d'arrêt incluses) Elle nécessite l'utilisation de méthodes systémiques. Ces méthodes peuvent également faire apparaître l'importance pour la sécurité du respect de certaines conditions prises comme hypothèses (délai de réaction des opérateurs, par exemple), envisager les défaillances de mode commun (situations où un événement tel qu'un séisme, un incendie, une explosion, une erreur de maintenance, etc., est susceptible d'affecter simultanément plusieurs systèmes nécessaires à la sûreté de l'installation) et permettre une évaluation correcte des conséquences. Pour chacune des menaces il faudra identifier toutes les barrières déjà en place capables de s opposer à l apparition de l événement redouté ou de ces conséquences. Une barrière est constituée de tout dispositif instrumental, mécanique ou procédural permettant de prévenir ou de réduire la probabilité d'occurrence ou de limiter les conséquences d un événement susceptible d aboutir à l accident. Il existe des barrières de prévention et des barrières de protection. # les barrières de prévention agissent en vue de prévenir ou limiter l occurrence de l événement redouté, Parmi celles ci nous pouvons trouver par exemple des mesures concernant le design, des mesures de détection de niveau, pression, température de débit, des procédures de sécurité etc. # les barrières de protection visent à diminuer les conséquences de l événement redouté. Parmi celles ci nous pouvons trouver par exemple : les procédures ou consignes de sécurité, les mesures de détection (gaz inflammables ou toxiques, feu, fumée etc. ), le choix du matériel pour les zones classées, les mesures d abattement (rideau d eau, arrosage etc. ), les plans d intervention interne ou externe (POI, PPI, PPRT) 7
Les critères d appréciation des barrières seront mesurées en termes d efficacité, de fiabilité et de disponibilité, trois caractéristiques prépondérantes et indissociables. Lorsque interviendra le choix des barrières, aux trois critères ci dessus viendra également s ajouter la notion de coût/efficacité, toutes les barrières n ayant pas la même efficacité. On identifiera également les facteurs d escalation capables d affecter l efficacité ou la disponibilité des barrières. Ces facteurs susceptibles d entraîner une marche dégradée seront identifiés et ils seront gérés dans le système de management de la sécurité ou tout autre système équivalent. A ce niveau de l étude on définira également la liste des Eléments Importants Pour la Sécurité (EIPS) à partir de l inventaire de toutes les barrières. Pour être qualifié d Important Pour la Sécurité, un Elément (opération ou équipement) doit être choisi parmi les barrières de défense destinées à prévenir l occurrence ou à limiter les conséquences d un événement redouté susceptible de conduire à un accident majeur potentiel. Toutes les barrières identifiées ne seront pas des EIPS. L efficacité, la fiabilité et la disponibilité de chacun de ces EIPS seront examinés avec un soin particulier sans oublier l analyse des modes communs de défaillance. Pour s assurer de la bonne gestion de ces EIPS un lien sera fait avec sa gestion dans le Système de Management de la Sécurité ou tout autre système équivalent. Etapes 7 et 8 : Quantification des effets redoutés et calcul des distances à risques Pour chacun des scénarios identifiés, les effets redoutés seront quantifiés à l aide de logiciels adaptés. a. Phénomènes physiques rencontrés : En général, les scénarios d accidents retenus peuvent conduire à des phénomènes physiques tels que toxicité, onde de surpression, flux thermique, effet missile. b. Seuils des effets rencontrés : Les caractéristiques de ces effets permettent de déterminer selon le phénomène rencontré des seuils d effets létaux et des seuils d effets irréversibles. Le Seuil des Effets Létaux (SEL) correspond à la valeur en dessous de laquelle on n observe moins de 1% de décès parmi la population exposée. Le Seuil des Effets Irréversibles (SEI) correspond à la valeur en dessous de laquelle chez la plupart des individus on n observe pas d effets significatifs. # Toxicité : Le seuil des effets correspond à la concentration maximale de polluant dans l air, pour un temps d exposition donné. On retiendra comme seuil de létalité soit le SEL lorsqu'il est déterminé, soit la CL1% (Concentration provoquant 1 % de létalité après 30 mn d exposition). Pour le seuil des effets irréversibles on retiendra comme valeur soit le SEI lorsqu'il est déterminé, soit le SES (Seuil des Effets Significatifs, anciennement appelé IDLH) # Flux thermique : Dans le cas de flux thermique, la notion de durée d exposition détermine le choix du seuil des effets. 8
Pour les phénomènes de durée supérieure à une minute tels que feux de bacs, feux de nappes, feux chalumeau etc. on utilise la notion de flux thermique statique. L administration retient comme seuil des effets létaux la valeur de 5 kw/m2 pour un temps d exposition de la population limité à 60 secondes et comme seuil des effets irréversibles la valeur de 3 kw/m2 pour un temps d exposition de la population limité à 60 secondes. Pour les phénomènes de durée inférieure à la minute tels que Flash Fire, UVCE, BLEVE, boil-over on utilise la notion de dose ou charge thermique. L administration retient comme seuil des effets létaux la valeur de 1 000 (kw/m2) 4/3.s et comme seuil des effets irréversibles la valeur de 600 (kw/m2) 4/3.s. # Surpression : Dans le cas de surpression, les seuils sont déterminés à partir des effets indirects de la surpression. L administration retient comme seuil des effets létaux la valeur de 140 mb et comme seuil des effets irréversibles la valeur de 50 mb. # Missiles : Il n a pas été défini de seuils pour l effet missile, les distances seront calculées au point d impact au sol. c. Calcul des distances à risques Distances permettant de définir les zones d urbanisation pour établissement du PPRT ou modification du PLU : # Z1 = zone qui correspond au début des effets létaux. # Z2 = zone d apparition d effets irréversibles pour la santé ou de blessures significatives. Distances servant à l élaboration du PPI : PPI = zone qui permet aux Préfets de définir le champ d'application du PPI. Cette zone ne doit pas être confondue avec celles délimitant la maîtrise de l'urbanisation. Elle se différencie essentiellement par les scénarios majorants souvent imposés par l'administration. Etape 9 : Evaluation du niveau de risque Gravité/Probabilité Calcul de la gravité Une fois les distances calculées les conséquences potentielles des effets sur les personnes, les biens et l environnement seront évaluées à partir de l inventaire réalisé dans ces zones en terme de nombre de personnes résidents à demeure ou de passage (cas des ERP par exemple), nombre et type d urbanisation et présence de zones sensibles pour l environnement (eau, air sol, biotope etc ) Calcul de la probabilité Méthode classique : 9
Pour chacune des menaces identifiées conduisant à un événement critique la probabilité de chacune des conséquences sera évaluée en utilisant la technique de l arbre des causes pour la partie prévention jusqu à l événement redouté, et d un arbre des évènements pour chacune des conséquences. La cinétique pourra également être prise en compte, par exemple la durée avant que les conséquences ne soient constatées (temps de détection, temps de déclenchement ou de mise en œuvre des moyens etc ). Autre méthode : Dans le cas ou l on ne dispose pas de données fiables sur les probabilités des évènements élémentaires, une autre approche peut consister à raisonner en nombre de barrières. Définir le nombre de barrières nécessaire est une affaire d expérience et de jugement. Il est logique de dire que plus le risque est important, plus le nombre de barrières devra être élevé mais il n est pas évident de déterminer ce nombre. Lors de la définition du nombre de barrières il faudra être vigilant de ne compter que les barrières indépendantes par exemple une alarme et un automatisme sur le même point de mesure ne font qu une barrière de la même façon, une procédure de gestion d un automatisme ne fait qu un avec cet automatisme. Nous donnons dans le tableau suivant à titre d exemple ce que pourrait être une approche réaliste en nombre de barrières. Exemple de ce que pourrait être une gestion en nombre de barrières : Classe du risque Zone verte Zone orange Zone rouge Barrières de prévention par menace identifiée Minimum une barrière de type procédure ou consigne. Minimum de 2 barrières indépendantes pour chaque menace conduisant à l évènement principal. Une de ces barrières est classée SIL 2 (1) et une SIL 1 ou équivalent (En cas de choix moins contraignant, apporter une justification) Minimum de 3 barrières indépendantes pour chaque menace conduisant à l évènement principal. Deux de ces barrières sont classées SIL 2 et une SIL 1 ou équivalent. (En cas de choix moins contraignant, apporter une justification) Barrières de protection par conséquence identifiée Au moins une mesure de réduction des conséquences Minimum de 2 barrières indépendantes (2) pour chacune une des conséquences. Une de ces barrières est classée SIL 1 (1) ou équivalent. (En cas de choix moins contraignant, apporter une justification) Minimum de 3 barrières indépendantes (3) pour chacune une des conséquences. Une de ces barrières est classée SIL 2 ou équivalent (En cas de choix moins contraignant, apporter une justification) Gestion des facteurs d escalation Au moins une consigne ou procédure d opération Au moins un moyen de maîtrise (procédure/consigne ou automatisme) Au moins deux moyens de maîtrise (procédures/consigne et/ou automatismes) 10
(1) Critères d appréciation des barrières selon norme CEI 61508. (2) Une des barrières doit détecter l événement principal et l autre diminuer les conséquences. (3) une des barrières doit détecter l événement principal une autre diminuer les conséquences et la troisième sera un plan d intervention. Etape 10 : Acceptabilité du risque A ce stade de l étude, nous disposons de l estimation des conséquences en terme de gravité et en probabilité. A partir de ces deux paramètres le niveau de risque sera positionné sur une grille ou l acceptabilité du risque sera défini. la zone verte correspond à un risque jugé comme tolérable, la zone orange pour laquelle il sera nécessaire de démontrer que le risque a bien été réduit jusqu à un niveau aussi bas que raisonnablement réalisable (ALARP), la zone rouge correspond à un risque intolérable. Chaque scénario encore positionné dans cette zone rouge devra faire l objet d une démarche de réduction du risque par la mise en œuvre de barrières complémentaires jusqu à atteindre un niveau de risque tolérable et au pire ALARP. Un risque toujours présent en zone rouge malgré la mise en place de barrières supplémentaires ne sera pas acceptable et des solutions alternatives sont à rechercher. Dans le cas de gestion en nombre de barrières l étape d acceptabilité du risque n est pas nécessaire car elle est implicite. Voir ci dessous un exemple de grille d acceptabilité. Etape 11 : Etablissement des plans de prévention A partir des éléments définis ci dessus les plans de prévention seront établis : 11
Plan d Opération Interne (POI) réalisé par l industriel, Plan Particulier d Intervention (PPI) réalisé par le préfet il défini les dispositions à mettre en œuvre à l extérieur de l établissement. Plan de Prévention des Risques Technologiques (PPRT) élaboré par le Préfet en concertation avec les collectivités territoriales, l exploitant et le président de la CLIC il sera utilisé pour la maîtrise de l urbanisation autour des sites à risques. Pour chacune un des accidents majeurs identifiés dans cette étude et dont les conséquences ont des effets à l extérieur du site, en complément de la probabilité sera estimé le coût des dommages matériels potentiels aux tiers. 3. Conclusions L approche rigoureuse développée ci dessus a pour objectif de faire (ou de refaire) un inventaire exhaustif de tous les risques présents dans les installations avec pour chaqu un d eux la possibilité de vérifier qu une maîtrise en est assurée etsurtout que les risques majeurs sont ramenés à un risque acceptable. Elle permet de s assurer de façon rigoureuse qu un lien avec le système de management de la sécurité a bien été fait notamment pour la gestion rigoureuse des barrières mises en place. Il va de soi que la mise en œuvre d une telle méthode ne peut être efficace qu avec la participation active de l industriel seul à posséder la passé et le présent de ses installations. 12