Les mesures de maîtrise des risques (MMR) – Critères de performances

Efficacité

L’efficacité est la capacité d’une MMR à remplir la fonction de sécurité pour laquelle elle a été mise en place. Elle est évaluée vis-à-vis d’un scénario d’accident précis car une même MMR pourra avoir une efficacité différente en fonction de l’intensité de l’événement initiateur qui la « sollicite ».

L’efficacité est exprimée sous la forme d’un pourcentage qui correspond au pourcentage d’accomplissement de la fonction de sécurité. En principe, lorsqu’une MMR est bien dimensionnée, l’efficacité peut atteindre 100 %.

Exemple :

Si un mur de protection a été dimensionné pour résister pendant une heure à un flux thermique de 30 kW/m², alors son efficacité sera de 100 % si l’intensité de l’agresseur est inférieure aux critères de dimensionnement. En revanche, si l’intensité est supérieure à 30 kW/m² ou la durée supérieure à une heure, alors son efficacité sera réduite.

Lorsqu’une MMR ne sera pas jugée totalement efficace, il faudra alors prendre en compte dans l’évaluation de la fréquence d’occurrence du scénario d’accident le pourcentage d’efficacité considéré (cf. exemple plus bas, Étape « Déterminez l’influence de la performance des MMR », section « Influence de l’efficacité »).

Temps de réponse

Le temps de réponse correspond à l’intervalle de temps entre le moment où la MMR est sollicitée et le moment où elle remplit dans son intégralité la fonction de sécurité.

Le temps de réponse doit intégrer le temps nécessaire :

• au fonctionnement du ou des dispositifs de détection (une fois sollicités) ;
• à la transmission et au traitement de l’information envoyée par les dispositifs de détection ;
• à la réalisation de l’action de sécurité (par exemple : fermeture de dispositifs d’isolement, arrêt d’une pompe, etc.).

Il n’existe pas de temps de réponse « idéal », même si dans l’absolu celui-ci doit être le plus faible possible. En effet, comme le montre l’exemple « Influence du temps de réponse (Étape « Déterminez l’influence de la performance des MMR »), plus le temps de réponse d’une MMR sera long et plus la gravité du scénario quand la MMR fonctionne sera importante.

En fonction de la nature de la MMR (cf. Études des dangers : mesures de maîtrise des risques (barrières)), ce paramètre peut être plus ou moins « pertinent ». Pour les MMR de type dispositifs actifs, le temps de réponse est généralement considéré comme quasiment instantané. Dans les EDD, il est donc admis de ne pas préciser de valeur. Pour les autres types de MMR, le temps de réponse peut être évalué par :

• une mesure sur site ;
• une évaluation à partir des données « fournisseur ».

Dès que possible, la mesure sur site est à privilégier car elle permet de mesurer le temps de réponse réel de la MMR. Pour une MMR prévue en phase de projet, l’évaluation peut se baser sur le retour d’expérience pour des systèmes équivalents ou les données « fournisseur ».

Pour les MMR qui sont composées de plusieurs dispositifs, le temps de réponse s’évalue par la somme des temps de réponse de chacun des dispositifs (cf. Étape 2).

Probabilité de défaillance

La probabilité de défaillance correspond à la probabilité que la MMR ne remplisse pas sa fonction de sécurité. L’INERIS a introduit dans le guide OMEGA 10 (INERIS - DRA-08-95403-01561B - Évaluation des barrières techniques de sécurité - Ω 10 – 2008) la notion de niveau de confiance (NC). Cette notion est équivalente à celle de Safety Integrity Level (SIL) au sens des normes IEC 61508/61511 mais généralisée aux MMR autres que les systèmes instrumentés de sécurité (SIS). Comme présenté dans le tableau « Échelle des niveaux de confiance », l’INERIS propose une échelle à 5 NC alors que le SIL n’en présente que 4 (introduction du NC = 0).

Testabilité

Pour s’assurer que les performances des MMR sont maintenues dans le temps, une solution consiste à les tester. Les tests permettent d’identifier la dérive des équipements et de définir des actions de maintenance correctives pour y remédier.

La testabilité ne s’applique pas à toutes les catégories MMR. En effet, pour des MMR tels que des évents d’explosion ou encore des murs de protection, il n’est pas possible de les tester sans recourir à des tests « destructifs ». De ce fait, il est admis que ces MMR ne sont pas « testables ».

Avec l’évolution des technologies, de plus en plus d’équipements électriques/électroniques (capteurs, logiques, etc.) sont dotés de capacités d’autotests (ou autodiagnostics). Ces autotests ne permettent pas de détecter tous les types de défaillances et des tests périodiques sont nécessaires. Dans l’idéal, le test périodique d’une MMR doit porter sur l’ensemble des éléments qui la composent. En revanche, il est admis de tester les différents éléments de manière séparée si les contraintes d’exploitation ne permettent pas de simuler un déclenchement des MMR.

Le test périodique ne doit pas uniquement vérifier que la MMR fonctionne, mais qu’elle remplit sa fonction avec les performances attendues. Si une MMR doit agir en 30 secondes, alors le test doit permettre de démontrer que ce temps de réponse est respecté.

Dès la conception d’une MMR, il est important d’étudier les répercussions liées à la nécessité de réaliser des tests périodiques. Il faut en effet se demander :

• si les tests pourront être réalisés lors du fonctionnement normal de l’installation (présence de by-pass) ou bien uniquement lors des arrêts (influence sur la périodicité) ;
• si le test envisagé couvre bien tous les équipements qui composent la MMR.

D’une manière générale, pour chaque MMR, une procédure de test doit être disponible. Cette procédure doit décrire a minima :

• en quoi consiste le test ;
• sa périodicité ;
• les paramètres à suivre (temps de réponse, par exemple).

Maintenabilité

Dans la norme X 60-500 (Terminologie relative à la fiabilité – Maintenabilité – Disponibilité), la testabilité est définie comme suit : « Dans des conditions données d´utilisation, aptitude d´une entité à être maintenue ou rétablie, sur un intervalle de temps donné, dans un état dans lequel elle peut accomplir une fonction requise, lorsque la maintenance est accomplie dans des conditions données, avec des procédures et des moyens prescrits. »

Une des données importantes en lien avec la maintenabilité est le temps moyen de réparation (MTTR : Mean Time To Repair) de la MMR. Concrètement, ce temps comprend le temps de diagnostic du problème, le temps que le réparateur mettra pour se rendre sur les lieux et le temps de réparation du système.

Ce temps dépend en partie du nombre de personnes dédiées à la maintenance et à la gestion du stock des pièces de rechange. Ce temps de réparation a une influence sur la disponibilité de la MMR (plus il est long et moins la MMR est disponible).