Projet cindynique Poursuite de l'informatisation de la méthode MOSAR

ADAM Carine SARCIAUX Pierre Projet cindynique Poursuite de l'informatisation de la méthode MOSAR Avec B. DEBRAY 1

INTRODUCTION 3 Formalisation du problème 3 La méthode MOSAR 3 Etape 1A: Modélisation systémique de l installation 3 Etape 2A: Etablissement des processus de dangers 3 Etape 3A: Evaluation d'un scénario 4 Etape 4A: Acceptabilité d'un scénario 4 Etape 5A: Identification des barrières de prévention et protection 5 Formalisation du problème 5 Sélection des informations pertinentes dans la base 5 Contextualisation 5 Construction d'arbres logiques 6 Définition des cibles prioritaires 6 Evaluation des scénarios (étapes 3 et 4 de la méthode MOSAR) 6 Proposition des barrières (étape 5 de la méthode MOSAR) 7 Informatisation de la méthode MOSAR 7 Modèle Conceptuel de Donnée 7 Les entités 7 Les relations 8 Modèle Conceptuel de Traitement 8 Base de Donnée CETIM 9 Base de donnée existante 9 Travail réalisé 9 Calcul des probabilités 9 Définition des grilles 10 Evaluation d'un scénario 10 CONCLUSION 12 2

INTRODUCTION Le but de ce projet est de fournir un outil d'analyse des risques suivant la méthode MOSAR, pour des usines de traitement thermique. Nous disposons pour cela d'une base de données qui collecte un certain nombre d'informations recueillies au cours d'études bibliographiques et de visites d'ateliers de traitement thermique. L outil permettra à un utilisateur de compléter ces données et l aidera à analyser les risques dans son usine. Formalisation du problème La méthode MOSAR La méthode MOSAR est une méthode d'analyse des risques. Cette analyse des risques prend en compte l identification exhaustives ou non de ces risques, l évaluation du niveau de danger de ces risques, la mise en place de barrières et enfin l évaluation de ces barrières. La méthode MOSAR se décompose en 5 étapes qui sont Représenter, Identifier, Evaluer, Négocier et Définir. Etape 1A: Modélisation systémique de l installation La 1 ère étape de la méthode MOSAR consiste à modéliser l entreprise. Cette modélisation découpe l entreprise pris dans sa globalité en sous-systèmes, généralement géographiquement, plus simple à étudier, en tenant compte par exemple aussi des flux extérieurs. Ainsi, une entreprise se décompose par exemple en zones de production, en bureaux administratifs, en locaux de maintenance, Etape 2A: Etablissement des processus de dangers Dans cette étape on définit pour chaque sous-système la liste des sources de dangers présentes (mécaniques, chimiques, électriques, ). La recherche des sources de dangers est favorisée à l aide de la grille 1 de la méthode MOSAR. Puis, pour chaque source de danger, dans chaque sous-système, on construit les scénarios d'accidents possibles en utilisant le tableau A, en regroupant la phase de vie, l événement initiateur, l événement initial, le flux et l événement final associé à chaque danger. Soussystème et Type de danger A7-Chute Phase de vie Exploita tion Evénement initiateur Sol glissant Pluie Evénement initial Homme Flux Glissade, chute de plein pied, chute de pleine hauteur Evénement final Blessures Choc 3

En faisant coïncider les évènements finaux et les évènements initiaux, on obtient un arbre des défaillances. Ceci permet de mettre les scénarios sous formes d arbres logiques. Etape 3A: Evaluation d'un scénario On évalue tout d'abord la gravité d'un scénario en jugeant l'impact des conséquences de l'événement final. Pour cette évaluation, il faut tenir compte de la cible visée (hommes, machines, population, environnement) et utiliser son bon sens. Plusieurs critères peuvent également nous aider: coût des destructions, de la reconstruction temps nécessaire à la reconstruction nombre de blessés, de morts, nombre de cancers à long terme. L évaluation de la gravité d un scénario se classe en bénin, pas grave, grave, très grave, Un calcul sur les arbres logiques permet de déterminer la fréquence d'un scénario à partir des probabilités des évènements initiaux. En effet, en considérant les évènements indépendants, il est possible de sommer cette probabilité si les évènements sont connectés à l aide d un OU logique ou de les multiplier si le lien est un ET logique. Etape 4A: Acceptabilité d'un scénario Il s'agit maintenant de voir si le scénario étudié est acceptable ou non. On utilise pour cela une grille de gravité probabilité en définissant les limites acceptable/inacceptable. En utilisant la probabilité et la gravité de l'évènement final du scénario, déterminées dans l'étape précédente, on peut alors le placer sur la grille et voir son acceptabilité. 4

Etape 5A: Identification des barrières de prévention et protection Il faut supprimer les évènements inacceptables. On recherche donc des barrières de prévention et protection qui pourraient diminuer la gravité et la probabilité des scénarios de manière à les rendre acceptables. Prévention Formalisation du problème Sélection des informations pertinentes dans la base L'utilisateur définit, pour chaque sous-système, la liste des matériels présents, en utilisant la base de donnée déjà existante. Ainsi, il sélectionne les informations pertinentes et élimine les dangers non susceptibles de se produire. Une fois cette étape effectuée, la base de donnée pourra construire la suite des étapes elle-même à savoir la construction du tableau A et l'élaboration des scénarios, en considérant uniquement les sources de dangers sélectionnées par l'utilisateur (il faudra donc filtrer les scénarios par matériels). Contextualisation La base de donnée bien que déjà formée ne sera jamais complète et devra faire face notamment à l évolution de la technique. C est pourquoi l utilisateur aura la possibilité de rajouter des éléments dans la base de donnée qui pourront être de nature différentes : Matériel Source de danger Evènements Scénarios 5

Cette contextualisation pourra se faire au fur et à mesure de la construction des étapes de la méthode MOSAR. Cependant, il semble pertinent également que l utilisateur puisse avoir accès à cette possibilité à n importe quelle moment du processus. Par exemple, si l utilisateur veut implémenter une nouvelle machine, donc un matériel, celle-ci peut avoir une influence sur la notion de source de dangers, de probabilités, d évènements, Une approche linéaire de construction du processus n est donc pas suffisante. De plus, cet enrichissement peux faire correspondre pour un même matériel des définitions différentes, dû essentiellement à des utilisateurs différents. L utilisateur devra donc être guidé pour que la définition du nouveau matériel, par exemple, soit suffisamment universel. Construction d'arbres logiques L'utilisateur devra pouvoir, si nécessaire, construire de nouveaux scénarios. Un formulaire de saisie des scénarios facilitera sa démarche. Il permettra de définir les événements, de les placer dans l'arborescence, et, éventuellement de leur associer le matériel et les composants correspondants. A tout moment, l'utilisateur a la possibilité de visualiser l'arbre d'événements et d'en faire une sortie papier. Définition des cibles prioritaires La base de donnée contiendra à terme un nombre d informations assez élevés. C est pourquoi, l utilisateur doit avoir la possibilité de choisir ces cibles en fonction de la priorité des scénarios. Par exemple, l usine peut ne pas être bien protégée contre le risque environnementale ou au contraire contre le risque humain, ou enfin les deux. Evaluation des scénarios (étapes 3 et 4 de la méthode MOSAR) Les scénarios devront faire l objet de grille de gravité x probabilité(gxp). Ces grilles pourront déjà faire l objet d une mise en place standard à partir desquelles l utilisateur pourra effectuer une première approximation du danger. Cependant, il sera nécessaire à l utilisateur de pouvoir effectuer une adaptation des grilles au contexte en fonction de : La connaissance de son installation La fréquence des accidents déjà produits dans son entreprise La définition des frontières L utilisateur prendra conscience ainsi de la limite d acceptabilité des scénarios envisagés appliqués à son entreprise. 6

Proposition des barrières (étape 5 de la méthode MOSAR) De la même manière, l utilisateur pourra sélectionner dans la base de donnée existante des barrières de prévention ou de protection pour chaque évènement. Cependant, il est bien évident que telle ou telle barrière ne pourra pas s appliquer à telle ou telle entreprise et l'utilisateur pourra en proposer des nouvelles. Ces barrières devront ensuite être évaluées par un calcul de probabilité de leur défaillance. La probabilité et la gravité de l'événement final pourront être alors recalculées. Enfin, un moyen visuel de vérification de ces barrières pourra être la visualisation sur les arbres des branches traitées et non traitées. Informatisation de la méthode MOSAR Modèle Conceptuel de Donnée Les entités D après la formalisation de la méthode MOSAR ci-dessus, les rubriques utilisées ont pu être listées. Tout d abord, dans l étape 1A de la méthode MOSAR, les systèmes sont découpés en sous-systèmes. L étude s appliquant à des entreprises spécifiques, l entité matériel est adoptée. Pour représenter l inclusion d un matériel dans un autre, un arbre de matériel est généré. L entité matériel possède ainsi comme attributs son nom(donnée1), le nom de son père(donnée2). Il est muni également d attributs propres à chaque matériel tels qu un texte descriptif(texte), le nom d un fichier d explication(fichier explications) une image(image) et les attributs délai, imputation et coût. Il est possible d imputer à chaque matériel des composants. Ces composants sont qualifiés par des noms, textes descriptifs et images. L étape 2A de la méthode MOSAR considère chaque matériel comme une source de dangers. Il convient alors de représenter la notion de sources de dangers. Ces ensemble de dangers constitue au final un arbre de défaillances. Chaque danger peut ainsi être décomposé en source de danger plus élémentaires. Cette arbre est représenté de la même manière que l arbre des matériels de l étape 1A. Ainsi, l entité danger possède les attributs donnée2(son nom), donnée1(son père), texte(son descriptif). Ces dangers forment ainsi un scénario qui devient une entité avec comme attribut n scénario, titre, son sommet(début) dans l arbre des dangers, les dangers associés(danger) et sa phase de vie(phase de vie). L évaluation d un scénario dépend du couple fréquence x gravité. On associe ainsi un attribut supplémentaire à l entité scénario : gravité, qui définit l ordre de gravité. Par exemple, la gravité d un feu se produisant dans un four est acceptable, puisqu il n y a destruction d aucun matériel), alors qu un feu se produisant dans l usine entière est de nature très grave. A la différence de la gravité, la probabilité associé à un scénario ne peux s appliquer au scénario seul. En effet, comme nous le verrons dans le Modèle Conceptuel de Traitement, la probabilité d un scénario dans un arbre de défaillance est fonction de la 7

probabilité des évènements. C est pourquoi deux attributs sont à rajouter dans l entité danger : la porte et la probabilité(proba). Les relations Ses différentes rubriques coexistent à travers des règles. Ces règles sont propres à la rubrique, par exemple la probabilité est un réel compris entre 0 et 1, une porte est une porte logique comprenant soit l attributs ET soit l attribut OU, Ces règles se définissent d ellesmêmes lors du développement de la base de donnée. Les règles entre les entités sont les relations. Par exemple, un matériel présente un danger. De cette manière, chaque danger est associé à un matériel. Il faut alors ajouter une entité matériel-danger comprenant les attributs n matériel, qui est égale à la clé primaire(donnée2) de l entité matériel et n danger, qui est égale à la clé primaire(n danger) de l entité dangers. Toutes ces relations se résument sur la figure suivante. Matériels Nom D escription Commentaire Présente Dangers Nom Code Commentaire 1,n 1,n R éalisation 1,n Compose 1,n Composants 1,1 Scénarios Nom Code Commentaire Evénem ent final 1,n Com pose 1,1 Evénem ents D escription Evénem ent précédent Commentaire B arrières Nom Fonction Commentaire 1,n Intervient dans 1,n Figure 4 : structure simplifiée de la base de données (formalisme MERISE) Modèle Conceptuel de Traitement Aux données présentées précédemment s ajoutent des opérations de publication, de mises à jour,.. qui répondent au cahier des charges. Il est à noter que dans une majeure partie des opérations, la chronologie n influe pas Ainsi, il peut y avoir ajout, modification ou suppression d un matériel. De plus, on doit être en mesure de pouvoir parcourir l arbre des matériels assez aisément et de visualiser l arbre. C est pourquoi, aux données associées à un matériel, par exemple, viennent se cumuler la liste de ses pères, la liste modifiable de ses dangers, 8

De la même manière, à chaque entité est associée des opérations d ajout, de modification ou de suppression. Pour les dangers, les mêmes opérations de visualisation et de parcours sont accessible. Base de Donnée CETIM Base de donnée existante Une étude sur l'industrie de traitement thermique a été réalisée par des visites d'ateliers de traitement thermique et des recherches bibliographiques. Cette étude a permis de définir une typologie des installations et des risques qui leur sont associés. Les informations recueillies (matériels, dangers, évènements, scénarios, composants) ont été stockées dans des tables. Un outil ACCESS a été commencé pour la rentrée et l utilisation des données recueillies par l étude. L outil permet par exemple d afficher les scénarios sous forme d arbres logiques. Il faut donc maintenant compléter cet outil en l adaptant à la méthode MOSAR. Travail réalisé Nous nous sommes intéressés plus particulièrement aux étapes 3 et 4 de la méthode MOSAR (évaluation des scénarios) et avons complété l outil en permettant à l utilisateur d ajouter les probabilités de certains événements, en calculant la probabilité des événements finaux et en aidant l utilisateur à juger de l acceptabilité des scénarios. Calcul des probabilités A partir de la table arbre2, deux champs ont été ajoutés : proba et arret. Le champ proba définit la probabilité de l événement. Le champ arret indique, s il est vrai, que la probabilité associé à l événement est une probabilité définie par l utilisateur et non pas calculée par l arborescence de l arbre de défaillance. Deux contrôles ont été implantés dans le formulaire parcoursarbre2, également dans le formulaire arbre2, pour pouvoir effectuer la saisie de la probabilité et celle de l arret. A l issue de cette saisie les probabilités sont mises à jour. Tout d abord la probabilité de l événement est réactualisée, si arret vaut FAUX, en fonction de ses fils. Si la valeur de la porte est OU alors la probabilité est la somme de celle de ses fils et pour une porte ET le produit. En effet, les évènements sont considérés comme indépendants. Ensuite, on réactualise la probabilités de ses pères jusqu à ce que le père soit la racine de l arbre ou que arret du père soit sur VRAI Les étapes 3 et 4 de la méthode MOSAR consistent à étudier l'acceptabilité des scénarios selon leur gravité et leur probabilité. Cette étape a été rajoutée au logiciel en passant par 2 stades: 9

l'utilisateur définit tout d'abord des grilles de gravité probabilité selon la cible étudiée il évalue ensuite la gravité du scénario afin de le placer sur la grille et de voir s'il est acceptable ou non. Définition des grilles L'utilisateur choisit tout d'abord la cible qu'il veut étudier (hommes, machines, environnement ou populations). Il définit ensuite les ordres de fréquence selon ses critères en donnant les limites de probabilité minimum et maximum pour chaque ordre. Il définit l'échelle de gravité en définissant et commentant chaque ordre de gravité. Il peut par exemple se baser sur le nombre de jours d'arrêt de travail pour les incidents sur les hommes ou les machines, sur les coûts de destruction et reconstruction ou les temps de reconstruction pour les conséquences sur les machines, le nombre de blessés ou de morts pour les conséquences sur les hommes ou les populations. Il reste à définir les limites acceptable/inacceptable. Pour chaque ordre de fréquence, il faut choisir le dernier ordre de gravité acceptable. On obtient alors une grille de ce type: Gravité 5 4 3 2 1 0 Acceptable grille 1 2 3 4 Fréquence Inacceptable Evaluation d'un scénario L'étude préalablement faite a permis d'établir une liste de scénarios possibles dans l'industrie du traitement thermique. La première étape de préparation des grilles de gravité probabilité va permettre maintenant d'étudier l'acceptabilité de ces scénarios dans le but de supprimer ceux qui apparaissent inacceptables en recherchant des barrières pour ces scénarios, ce qui constitue l'étape 5 de la méthode MOSAR. L'utilisateur choisit donc le scénario qu'il veut étudier dans la liste disponible. 10

Il choisit la cible à laquelle l'événement final à des conséquences. Il juge de la gravité de l'événement en choisissant dans la liste correspondant à la cible. Le logiciel calcule la probabilité de l'événement final à partir des probabilités des évènements initiaux précédemment rentrés, puis détermine l'ordre de fréquence. Le numéro du scénario s'affiche alors sur la grille. 11

Compléments à rajouter Pour les probabilités des événements, nous avons choisi de les définir par des réels, ce qui implique une connaissance précise de la fréquence des événements initiaux. Il faudrait permettre à l utilisateur une marge plus importante sur les connaissances afin qu il puisse donner des ordres de fréquence (rare, fréquent, très fréquent ) plutôt qu une probabilité précise. Le calcul de probabilité des événements finaux des scénarios devra donc tenir compte de cette possibilité de définition des fréquences. CONCLUSION Ce projet nous a permis d appliquer la méthode MOSAR à un exemple concret : les industries de traitement thermique. Mais il nous a surtout permis de participer à la mise en place d un outil informatique d analyse des risques. Il nous a fallu réfléchir à la méthode d implémentation d informations diverses dans des bases de données, données qu il a fallu traiter par la suite. 12