L’identification des scénarios¶

Le rôle des scénarios dans Planop¶

Dans Planop, les Scénarios sont utilisés pour décrire les risques et s pécifier les mesures. On peut voir un scénario comme une unité d’informations sur les risques de procédé. On veut dire ici qu’un problème spécifique est décrit dans chaque scénario. Le scope d’un scénario est donc limité:

il cadre au sein d’une des huit fonctions de sécurité;
il est couplé à une seule section déterminée de la Structure de répartition du site;
il décrit un seul problème spécifique (pour la section concernée et cadrant au sein de la fonction de sécurité concernée).

Ce scope limité fait que chaque scénario peut être relativement court et simple, alors qu’il décrit quand même très précisément un problème bien défini. Grâce au scope limité, les scénarios sont plus faciles à rédiger et plus facilement lisibles. A côté de cela, il apparaît que pour la description des risques d’une installation de procédé (et donc pour la documentation des mesures de contrôle), on a généralement besoin d’un grand nombre de scénarios. Ce grand nombre de scénarios reste cependant gérable grâce à la structure dans laquelle les scénarios sont repris dans Planop. Cette structure est formée en premier lieu par la Structure de répartition du site qui est constituée de sections auxquelles les scénarios sont couplés. Au sein de chaque section, les scénarios sont subdivisés plus loin selon les fonctions de sécurité et au sein de chaque fonction de sécurité, selon des catégories qui peuvent être définies par l’utilisateur lui-même. Chaque scénario a finalement un nom avec lequel le scénario apparaît dans les listes d’aperçu et qui peut être choisi librement par l’utilisateur.

Activer une fonction de sécurité¶

La manière la plus adéquate pour identifier des scénarios est de travailler par fonction de sécurité, c’est-à-dire de se concentrer pendant une session Planop sur une seule fonction de sécurité déterminée. Cela présente plusieurs avantages.

En premier, cette façon de faire correspond certainement le mieux à la pratique existante. Dans l’introduction, nous avons expliqué que certains groupes de mesures font l’objet d’études séparées. Les fonctions de sécurité définies dans Planop ne sont pas plus qu’une manière d’amener une structure dans ces diverses études. L’analyse de chaque fonction de sécurité exige aussi une expertise spécifique et une approche spécifique. Comme nous allons le voir ci-dessous, les causes initiales et les évènements finaux des scénarios sont spécifiques pour chaque fonction de sécurité. Travailler dans une même fonction de sécurité favorise donc une approche plus conséquente et empêche que l’on doive constamment faire le saut entre différentes approches.

Deuxièmement, le niveau optimal dans la structure de répartition à laquelle les scénarios sont couplés, sera déterminé en grande partie par la fonction de sécurité. Il est donc plus efficace de poser la question pour une fonction de sécurité déterminée: à quel niveau dans la structure de répartition, est-ce que je définis mes scénarios, alors pour chaque section, de passer en revue toutes les fonctions de sécurité pour chaque section et chaque fois de se poser la question: est-il utile de définir un scénario pour cette fonction de sécurité.

C’est pourquoi Planop offre la possibilité d’activer une fonction de sécurité déterminée. Cela peut se faire en cliquant sur le nom de la fonction de sécurité (représenté à droite sur l’écran en tant que boutons verts). Dans l’exemple ci-dessous, la fonction de sécurité Contrôler la dégradation des enveloppes est par exemple activée. Cela assure que cette fonction de sécurité est automatiquement sélectionnée dans une série d’écrans. Il reste cependant toujours possible de changer cette sélection (même si la fonction de sécurité est active).

Fonction de sécurité activée

Choisir une section¶

L’étape suivante est le choix de la section pour laquelle on va analyser la fonction de sécurité. Ci-dessous sont données une série de directives par fonction de sécurité.

Le choix de la section à laquelle on couple les scénarios n’est cependant pas définitif. On peut déplacer un scénario d’une manière simple vers une autre section, aussi lorsque cette section se trouve à un niveau plus élevé ou plus bas dans la structure de répartition.

Si l’on a des doutes au sujet du niveau dans la Structure de répartition du site sur lequel il vaut mieux étudier une fonction de sécurité déterminée, on peut toujours partir du niveau le plus bas. Si l’on définit alors un scénario (avec les couches de sécurité correspondantes) pour lequel on estime qu’il est finalement valable pour une branche entière de la structure de répartition, on peut déplacer le scénario vers la section qui contient cette branche.

A ce sujet, il est aussi utile de mentionner la possibilité de travailler avec des scopes. Des scopes sont des groupes arbitraires de sections. On peut utiliser un scope afin de coupler un scénario déterminé à un groupe de sections qui ne sont pas situés sous une même branche dans la structure de répartition. Supposons par exemple que plusieurs réservoirs de stockage atmosphériques se retrouvent sur un site, mais qui cependant sont répartis sur différentes installations et qui donc ne tombent pas ensemble sous une seule section dans la structure de répartition. On peut alors rassembler ces réservoirs de stockage dans un seul scope “réservoirs de stockage” et coupler des scénarios à ce scope, qui sont communs pour tous les réservoirs de stockage dans le scope. Une alternative est que l’on couple ce scénario séparément à chaque réservoir de stockage.

Directives pour le choix des sections lors de l’étude d’une fonction de sécurité¶

Contrôler les déviations¶

Choisir des sections qui correspondent aux appareils individuels (voire même des parties d’appareils de procédé), comme on le ferait lors de la réalisation d’une étude HAZOP.

Contrôler la dégradation des enveloppes¶

Choisir des sections dans lesquelles des phénomènes de dégradation plus ou moins uniformes entrent en ligne de compte. Pour la corrosion, cela dépend fortement des matériaux de construction et des substances présentes. Le passage d’un matériau de construction à un autre, est donc une frontière logique entre deux sections qui sont étudiées séparément dans la fonction de sécurité Contrôler la dégradation des enveloppes.

Lorsque l’on peut a priori difficilement estimer dans quelle section les phénomènes de dégradation sont similaires, on peut commencer l’analyse au même niveau que pour le contrôle des déviations.

Si l’on constate après analyse d’une série de sections que les scénarios de dégradation (et les mesures y afférentes) sont identiques, on peut alors envisager de les placer à un niveau plus élevé dans la structure de répartition. Cela a pour avantage que l’on ne doit pas rappeler les mêmes scénarios. Nous rappelons que dans une section, tous les scénarios des sections situées au-dessus sont aussi représentés (voir XXX).

Certaines entreprises travaillent avec ce que l’on appelle des boucles de corrosion. On peut faire coïncider de telles boucles avec des sections déterminées, ou on peut utiliser des scopes. Dans un scope avec par exemple le nom de “boucle de corrosion XYZ”, on peut indiquer toutes les sections faisant partie de cette boucle de corrosion.

Limiter les quantités libérées¶

Des mesures pour limiter les libérations sont la plupart du temps prises pour les types d’appareils de procédé suivants:

des réservoirs (aussi bien en zone de stockage qu’en zone de production);
des équipements de procédé (tours, réacteurs, …);
des pompes et des compresseurs;
des échangeurs de chaleur;
des postes de (dé)chargement pour camions-, wagons-citernes ou bateaux.

Les critères pour prendre des mesures de limitation des fuites tiennent compte aussi dans beaucoup de cas de la nature des substances dangereuses ainsi que des quantités et des conditions de pression et de température dans lesquelles elles sont présentes.

Il est donc important lors de l’étude de cette fonction de sécurité de faire une sélection des équipements qui entrent en ligne de compte pour prendre des mesures de limitation de fuites. Nous conseillons de commencer au bas de la structure de répartition. Parcourir les équipements sur le niveau le plus bas et se poser la question: est-il adéquat ou non de prendre des mesures de limitation de fuites? Poser ensuite la question à un niveau plus élevé dans la structure de répartition: peut-être qu’il y a une série d’appareils de procédé qui chacun pris séparément ne représentent pas un potentiel de danger suffisant pour justifier la prise de mesures de limitation de fuites, mais qui ensemble forment une entité plus grande pour laquelle de telles mesures sont par contre recommandées.

Contrôler la dispersion après libération¶

Des mesures pour contrôler la dispersion telles que des encuvements, des sols rétentionnés avec un système de récupération, des rideaux d’eau sont la plupart du temps prises pour différents équipements de procédé dans une zone déterminée. Dans ce cas, il est recommandé de coupler les scénarios de dispersion avec les couches de sécurité y afférentes à la section dans la structure de répartition qui correspond à cette zone.

Dans certains cas, des mesures pour contrôler la dispersion sont définies pour un seul équipement, par exemple un encuvement séparé ou bac de recueil sous une pompe, un sol rétentionné en-dessous d’un poste de (dé)chargement, un bâtiment autour d’un réservoir de stockage (avec des substances très toxiques).

Eviter les sources d’inflammation¶

Des mesures pour éviter l’inflammation peuvent aussi bien être très générales (et donc d’application sur une grande section ou même sur une installation entière), que très spécifiques pour un équipement déterminé ou une tâche spécifique.

L’utilisation de matériel électrique sûr du point de vue explosion, conformément à la classification en zones, est un exemple d’une mesure générale qui est généralement valable pour une grande partie de l’installation ou même pour l’installation toute entière. On peut introduire l’usage de matériaux sûrs du point de vue explosion dans une étude Planop comme couche de sécurité pour un scénario qui est défini pour une section qui correspond avec cette partie de l’installation (ou du site) où du matériel électrique sûr du point de vue explosion est utilisé. Toutes les sections sous-jacentes “héritent” alors de ce scénario.

Des mesures pour éviter des étincelles suite au chargement électrostatique, sont alors généralement plus spécifiques pour un certain équipement ou pour un poste de travail déterminé. Pensez par exemple aux mesures comme:

la mise à la terre de camions-citernes lors du (dé)chargement;
le port de vêtements antistatiques (en combinaison avec un sol suffisamment conducteur) lors de l’exécution de certaines tâches (même si cela peut aussi être une mesure générale dans une entreprise);
la mise à la terre de fûts lors du remplissage avec des substances inflammables.

Limiter les dommages dus aux incendies¶

Cette fonction de sécurité est bien entendu uniquement pertinente pour des sections qui peuvent être exposées à un feu externe.

Des mesures pour protéger contre un incendie ne sont pas uniquement prises pour des équipements de procédé individuels (par ex. réservoirs de stockage) mais aussi pour des structures portantes, des chemins de câbles ou de travailleurs (par ex. le port de vêtements résistant au feu).

Si l’on rassemble tous les appareils dans une structure portante sous une seule section dans la structure de répartition, il peut suffire de définir une seule fois pour cette section un scénario dans lequel cette structure portante est exposée un feu. Une alternative est que l’on définit pour chaque appareil de procédé un scénario dans lequel la structure portante correspondante est exposée à un feu.

La section à laquelle on couple un scénario sur l’exposition d’un travailleur au feu, dépend du risque et des mesures. Si le risque d’exposition est identique pour une partie déterminée du site et si dans cette partie, le port de vêtements résistant au feu est par exemple une prescription générale, on peut coupler un scénario sur l’exposition des travailleurs au feu, à une section dans la structure de répartition qui correspond à cette zone.

Protéger contre des explosions¶

Des mesures pour la protection contre des explosions sont généralement prises au niveau des bâtiments du site. Pour l’étude de cette fonction de sécurité, il est donc nécessaire de reprendre également les bâtiments dans la structure de répartition et d’y coupler des scénarios dans lesquels ils sont exposés à une explosion représentative.

Limiter l’exposition après libération¶

Des mesures contre l’exposition sont la plupart du temps prises au niveau d’un travailleur individuel. Des mesures spécifiques telles que la protection respiratoire ou les équipements résistants aux acides sont prescrits lors de l’exécution de certaines tâches au cours desquelles des substances dangereuses peuvent être libérées. Ces scénarios au cours desquels l’exécutant de certaines tâches (par ex. le (dé)chargement de camions-citernes) doit porter des protections spécifiques, sont de manière logique couplés à la section où ces tâches doivent être exécutées (par ex. le poste de (dé)chargement concerné).

Utilisation de la liste de suggestions¶

Pour chaque fonction de sécurité, des listes de suggestions sont prévues. Ces listes de suggestions contiennent des scénarios types. Il est recommandé (certainement en tant que nouvel utilisateur de Planop) d’utiliser les listes de suggestions.

Sélection de la fonction de sécurité et du scope

Sélection de scénarios à partir de la liste de suggestions

Dans l’écran de dialogue, on peut choisir la fonction de sécurité pour laquelle on veut ajouter un scénario. On voit ensuite la liste de suggestions pour la fonction concernée. On y reprend les noms de scénarios types. On peut cliquer sur les noms pour faire apparaître plus de détails sur le scénario, en particulier l’arbre des causes. L’usage des listes de suggestions sous-entend que l’on passe en revue les scénarios types, on les consulte le cas échéant, et que l’on coche lorsque l’on les juge pertinents pour la section qui est étudiée. On peut alors copier les scénarios types sélectionnés vers la section concernée.

Les scénarios types copiés ne sont cependant qu’une première amorce pour l’établissement des scénarios de la section concernée. Le nom et l’arbre des causes devront être adaptés dans presque tous les cas (aussi bien les évènements que les couches de sécurité). Dans tous les cas, les mesures concrètes qui remplissent les couches de sécurité doivent être définies. Nous rappelons que des couches de sécurité sont nommées suivant la fonction qu’elles remplissent ou l’action qui est exécutée. Les fonctions et les actions sont des notions abstraites. Pour que ces fonctions ou actions puissent se faire, des mesures concrètes sont nécessaires.

Pour modifier l’arbre des causes, les manipulations suivantes sont possibles:

l’ajout d’une nouvelle cause à un évènement de l’arbre des causes (pour plusieurs causes, elles sont combinées automatiquement via une porte OU);
la modification de la logique des portes (changer une porte OU en une porte ET et inversement);
l’ajout d’une nouvelle conséquence à un évènement;
l’ajout d’une nouvelle couche de sécurité;
renommer des évènements et des couches de sécurité;
l’élimination d’évènements et de couches de sécurité.

Dans la liste de suggestions, les scénarios sont classés selon une catégorie. Ces catégories sont reprises dans l’étude Planop lorsque l’on copie des scénarios types de la liste de suggestion, mais peuvent aussi être modifiées. Il suffit de taper un autre texte dans le champ Catégorie dans l’onglet Description.

Définir des scénarios supplémentaires¶

Les listes de suggestions avec des scénarios n’ont pas la prétention d’être complètes et de comprendre tous les scénarios (types) possibles pour chaque fonction de sécurité. C’est pourquoi il est important de se poser la question de savoir si des scénarios supplémentaires peuvent encore être ajoutés, au dessus des scénarios types sélectionnés.

Les catégories de scénarios procurent une aide à ce sujet: on peut chaque fois se poser la question: y a-t-il encore des scénarios dans cette catégorie qui peuvent se produire?

Il est aussi important d’ajouter des scénarios qui ont été identifiés dans d’autres études, telles que des études HAZOP ou lors de l’analyse d’accidents et incidents. L’objectif est en effet de dresser dans Planop un aperçu complet des risques et des mesures.

Si un nouveau scénario est ajouté, on doit remplir soi-même tous les champs d’information de ce scénario.

Nouveau scénario

Les champs Nom, Catégorie et Description ont déjà été traités ci-dessus.

Le champ inférieur, qui a un autre nom dans chaque fonction de sécurité, est l’évènement final du scénario. En d’autres mots, il s’agit du premier élément de l’arbre des causes. Ce champ est uniquement nécessaire comme première amorce de l’arbre des causes; par après l’évènement final de l’arbre des causes peut encore être modifié. Pour ce faire, on peut utiliser les manipulations déjà listées ci-dessus.

Le choix de l’évènement final et des causes initiales dans un scénario dépend de la fonction de sécurité. L’objectif est que le scénario renferme la fonction de sécurité. L’évènement final est typiquement celui que l’on veut éviter via la fonction de sécurité. Les causes initiales sont typiquement des évènements qui sollicitent la fonction de sécurité. Il faut essayer de garder le scénario court et simple. Le tableau ci-dessous donne des directives au sujet des évènements finaux et des causes initiales pour les différentes fonctions de sécurité. Nous conseillons également aux utilisateurs, avant d’introduire soi-même de nouveaux scénarios, d’examiner suffisamment d’exemples de scénarios, dans les listes de suggestions pour les différentes fonctions de sécurité ou dans des exemples que l’on trouve sur le site internet de Planop.