Circulaire n° DPPR/SEI2/MM-05-0316 du 07/10/05 relative aux Installations classées - Diffusion de l'arrêté ministériel relatif à l'évaluation et à la prise en compte de la probabilité d'occurence, de la cinétique, de l'intensité des effets et de la gravité des conséquences des accidents potentiels dans les études de dangers des installations classées soumises à autorisation

(BOMEDD n° 23/2005 du 15 décembre 2005)

Texte abrogé par la circulaire du 10 mai 2010 (BO du MEEDDM n° 2010/12 du 10 juillet 2010)

PJ : glossaire technique des risques technologiques

Le Directeur de la prévention des pollutions et des risques
à
Mesdames et Messieurs les Préfets

Je vous prie de bien vouloir trouver ci-joint l'arrêté relatif à l'évaluation et à la prise en compte de la probabilité d'occurence, de la cinétique, de l'intensité des effets et de la gravité des conséquences des accidents potentiels dans les études de dangers des installations classées soumises à autorisation, signé par la Ministre de l'Ecologie et du Développement Durable le 29 septembre 2005 et publié au Journal officiel du 7 otobre 2005.

Cet arrêté précise les modalités d'évaluation de ces paramètres, ainsi que les échelles de cotation des accidents potentiels en terme de probabilité, d'intensité, et de gravité sur les personnes, prises parmi les intérêts visés à l'article L.511-1 du code de l'Environnement.

Pour la lecture et l'application de cet arrêté, l'utilisation du glossaire technique des risques technologiques, joint à ce courrier, est vivement conseillée.

Si les échelles de cotations sont identiques pour toutes les installations classées soumises à autorisation, le niveau d'analyse est à adapter au risque engendré par l'installation, suivant le principe de proportionnalité énoncé au sixième alinéa du 5° de l'article 3 du décret n° 77-1133 du 21 septembre 1977 modifié .

La justification par l'exploitant du niveau de probabilité de chaque phénomène dangereux doit lui aussi répondre au principe de proportionnalité, et donc être plus détaillé pour les établissements AS que pour les installations soumises à simple autorisation, pour lesquelles cette justification peut être succincte. Si plusieurs méthodes sont utilisées, il est important de veiller à la cohérence des résultats.

Pour l'évaluation de la probabilité d'occurrence d'un phénomène dangereux pouvant mener à un accident majeur, la méthode est libre, comme énoncé par l'article L.512-1 du code de l'environnement. Cependant, une attention particulière doit être portée à la pertinence de la méthode utilisée, qui doit être intimement liée à l'analyse de risques et confrontée au retour d'expérience.

Des précisions techniques sur l'application de cet arrêté seront prochainement apportées par un guide actuellement en préparation dans mes services.

Vous voudrez bien me faire part des difficultés d'application éventuelles que vous pourrez rencontrer.

Le Directeur de la Prévention des Pollutions et des Risques,
délégué aux Risques Majeurs,
Thierry Trouvé

Glossaire technique des risques technologiques

Avertissement : Ce glossaire est un document indicatif visant à éclairer la lecture des textes publiés postérieuement à sa publication (octobre 2005), et à harmoniser le vocabulaire utilisé par les services d'inspection des installations classées.

Préambule : Les termes ou expressions explicités ci-après font référence, lorsqu'elles existent, à des définitions extraites de normes ou de textes réglementaires.

Les termes apparaissant en caractère gras dans les définitions correspondent à des termes eux-même définis dans le glossaire.

Tables des termes définis :

ANNEXE : Tableau de correspondance des termes utilisés dans les textes réglementaires antérieurs au glossaire avec ce glossaire

Notions de danger, risque et corollaires
Danger
Potentiel de danger
Aléa
Risque toléré
Acceptation du risque
Appréciation du risque
Analyse du risque
Evaluation du risque
Réduction du risque
Sécurité-Sûreté
Evènements et accidents
Lignes de défense
Événement redouté central
Événement initiateur
Phénomène dangereux (ou phénomène redouté)
Accident
Accident majeur
Scénario d'accident (majeur)
Effets dominos
Cinétique
Gravité
Effets d'un phénomène dangereux
Intensité des effets d'un phénomène dangereux
Conséquences
Eléments vulnérables (ou enjeux)
Vulnérabilité
Probabilité d'occurrence
Probabilité d'occurrence d'un phénomène dangereux
Probabilité conditionnelle d'exposition d'une cible à un effet donné, pour une intensité donnée d'un phénomène dangereux
Probabilité d'accident de conséquences C découlant d'un phénomène dangereux
Risque résiduel
Traitement du risque
Fonctions et barrières de sécurité
Prévention
Protection
Limitation
Fonction de sécurité
Mesure de sécurité (ou barrière de sécurité ou mesure de maîtrise des risques)
Mesure de sécurité « complémentaires » - « supplémentaires »
Performance des barrières
Efficacité (Pour une barrière de sécurité) ou capacité de réalisation
Temps de réponse
Niveau de confiance: [notion utilisée dans certaines méthodes d'analyse de risque]
Element Important pour la Sécurité (IPS)
Indépendance d'une barrière
Principe de sécurité positive (ou sécurité à manque)
Principe de tolérance aux anomalies matérielles
Principe de tolérance à la première défaillance
Principe de « concept éprouvé »
Principe de résistance aux contraintes spécifiques
Principe de testabilité
Principe d'inspection-maintenance spécifique
Redondance
Livre V, Titre Ier du Code de l'environnement
Décret 77-1133 du 21 septembre 1977 modifié

1. Notions de danger, risque et corollaires

Danger

Cette notion définit une propriété intrinsèque à un substance (butane, chlore,...), à un système technique (mise sous pression d'un gaz,...), à une disposition (élévation d'une charge),..., à un organisme (microbes), etc., de nature à entraîner un dommage sur un « élément vulnérable » [sont ainsi rattachées à la notion de "danger" les notions d'inflammabilité ou d'explosivité, de toxicité, de caractère infectieux etc... inhérentes à un produit et celle d'énergie disponible (pneumatique ou potentielle) qui caractérisent le danger] ;

Potentiel de danger

(ou « source de danger », ou « élément dangereux », ou « élément porteur de danger »):

Système (naturel ou créé par l'homme) ou disposition adoptée et comportant un (ou plusieurs) " danger(s) " ; dans le domaine des risques technologiques, un "potentiel de danger" correspond à un ensemble technique nécessaire au fonctionnement du processus envisagé.

Exemples : un réservoir de liquide inflammable est porteur du danger lié à l'inflammabilité du produit contenu, à une charge disposée en hauteur correspond le danger lié à son énergie potentielle, à une charge en mouvement celui de l'énergie cinétique associée, etc. ;

Risque :

« Combinaison de la probabilité d'un événement et de ses conséquences » (ISO/CEI 73), « Combinaison de la probabilité d'un dommage et de sa gravité » (ISO/CEI 51)

1/ Possibilité de survenance d'un dommage résultant d'une exposition aux effets d'un phénomène dangereux. Dans le contexte propre au « risque technologique », le risque est, pour un accident donné, la combinaison de la probabilité d'occurrence d'un événement redouté/final considéré (incident ou accident) et la gravité de ses conséquences sur des éléments vulnérables

2 / Espérance mathématique de pertes en vies humaines, blessés, dommages aux biens et atteinte à l'activité économique au cours d'une période de référence et dans une région donnée, pour un aléa particulier. Le risque est le produit de l'aléa par la vulnérabilité [ISO/CEI Guide 51]
Ø Le risque constitue une " potentialité ". Il ne se « réalise » qu'à travers "l'événement accidentel", c'est-à-dire à travers la réunion et la réalisation d'un certain nombre de conditions et la conjonction d'un certain nombre de circonstances qui conduisent, d'abord, à l'apparition d'un (ou plusieurs) élément(s) initiateur(s) qui permettent, ensuite, le développement et la propagation de phénomènes permettant au "danger" de s'exprimer, en donnant lieu d'abord à l'apparition d'effets et ensuite en portant atteinte à un (ou plusieurs) élément(s) vulnérable(s).

Le risque peut être décomposé selon les différentes combinaisons de ses trois composantes que sont l'intensité, la vulnérabilité et la probabilité (la cinétique n'étant pas indépendante de ces trois paramètres) :

Intensité x Vulnérabilité = gravité des dommages ou conséquences

Intensité x Probabilité = aléa

Risque = Intensité x Probabilité x Vulnérabilité = Aléa x Vulnérabilité = Conséquences x Probabilité

Dans les analyses de risques et les études de dangers, le risque est généralement qualifié en Gravité (des Conséquences) x Probabilité, par exemple dans une grille P x G, alors que pour les PPRT, il l'est selon les deux composantes Aléa x Vulnérabilité (par type d'effet : thermique, toxique, surpression et projection).

Ex : Il apparaît nécessaire, pour décrire convenablement les différents concepts, de distinguer:

"danger": (Directive 96/82) ex. élément chlore et sa toxicité (caractéristique),
« potentiel de danger » ou "élément porteur de danger" ou "source potentielle de danger" (‘hazard' en anglais): ex. réservoir de chlore,
"situation de danger" : ("situation dangereuse" de la norme EN 61508 - 4 §3.1.3.) ex. réservoir de chlore en relation avec son environnement (établissement et son voisinage).

Aléa

Probabilité qu'un phénomène accidentel produise en un point donné des effets d'une intensité donnée, au cours d'une période déterminée. L'aléa est donc l'expression, pour un type d'accident donné, du couple (Probabilité d'occurrence x Intensité des effets). Il est spatialisé et peut être cartographié. (Circulaire du 02/10/03 du MEDD sur les mesures d'application immédiate introduites par la loi n° 2003-699 en matière de prévention des risques technologiques dans les installations classées).

NB : Notion utilisée principalement pour les PPRT.

Attention aux confusions avec : « Risque », « Danger ».

Risque toléré

La "tolérabilité" du risque résulte d'une mise en balance des avantages et des inconvénients (dont les risques) liés à une situation, situation qui sera soumise à révision régulière afin d'identifier, au fil du temps et chaque fois que cela sera possible, les moyens permettant d'aboutir à une réduction du risque.

La norme EN 61508 - 5 en son annexe A (§A2) indique "la détermination du risque tolérable pour un événement dangereux a pour but d'établir ce qui est jugé raisonnable eu égard à la fréquence (ou probabilité) de l'événement dangereux et a ses conséquences spécifiques. Les systèmes relatifs à la sécurité sont conçus pour réduire la fréquence (ou probabilité) de l'événement dangereux et/ou les conséquences de l'événement dangereux".

NB : Notion ne figurant pas dans les textes relatifs aux installations classées, mais utilisé dans d'autres domaines ou à l'étranger.

Acceptation du risque

« Décision d'accepter un risque ». L'acceptation du risque dépend des critères de risques retenus par la personne qui prend la décision [1] (ISO/CEI 73). Le regard porté par cette personne tient compte du " ressenti " et du "jugement" qui lui sont associés.

NB : Notion ne figurant pas dans les textes relatif aux installations classées, mais utilisé dans d'autres domaines ou à l'étranger.

Appréciation du risque

« Ensemble du processus d'analyse du risque et d'évaluation du risque » (ISO/CEI 73).

Analyse du risque

« Utilisation systématique d'informations pour identifier les phénomènes dangereux et pour estimer le risque [en découlant, ndlr]» (ISO/CEI 73)

Evaluation du risque

« Processus de comparaison du risque estimé avec des critères de risque donnés pour déterminer l'importance du risque » (ISO/CEI 73).

La comparaison peut être menée par rapport à un référentiel préétabli dans l'objectif de permettre la prise de décision vis-à-vis de l'acceptation du risque ou de la nécessité de son traitement.

Elle peut considérer le coût, les avantages, les préoccupations des parties prenantes, et d'autres variables requises selon le cas pour l'évaluation du risque.[FD ISO/CEI Guide 73].

Signification ou " valeur " attribuée au risque estimé par les personnes concernées, en tenant compte de la perception qui en est faite ; cette estimation ou évaluation du risque est souvent réalisée selon deux composantes, la probabilité et les conséquences potentielles d'un risque, par exemple sur une grille de criticité.

Réduction du risque

Actions entreprises en vue de diminuer la probabilité, les conséquences négatives (ou dommages), associés à un risque, ou les deux. [FD ISO/CEI Guide 73]. Cela peut être fait par le biais de chacune des trois composantes du risque, la probabilité, l'intensité et la vulnérabilité :

Réduction de la probabilité : par amélioration de la prévention, par exemple par ajout ou fiabilisation des mesures de sécurité

Réduction de l'intensité :
- o par action sur l'élément porteur de danger (ou potentiel de danger), par exemple substitution par une substance moins dangereuse, réduction des quantités mises en oeuvre, atténuation des conditions de procédés (T°, P...), simplification du système....
  - à réduction des dangers
- o la réduction de l'intensité peut également être accomplie par des mesures de limitation (ex : rideau d'eau pour abbattre un nuage toxique, limitant son extension à des concentrations dangereuses)

La réduction de la probabilité et/ou de l'intensité correspond à une réduction du risque « à la source », ou réduction de l'aléa.

Réduction de la vulnérabilité : par éloignement ou protection des éléments vulnérables (par exemple par la maîtrise de l'urbanisation, dont PPRT, ou par les plans d'urgence externes).

Attention aux confusions avec : « réduction des dangers », qui n'est qu'une des manières de réduire le risque.

Sécurité-Sûreté

Dans le cadre des installations classées, on parle de sécurité des installations vis-à-vis des accidents et de sûreté vis-à-vis des attaques externes volontaires (type malveillance ou attentat) des intrusions malveillantes et de la malveillance interne. Par parallèle avec le secteur nucléaire, on utilise parfois l'expression « sûreté de fonctionnement » dans les installations classées, qui se rapporte en fait à la maîtrise des risques d'accident, donc à la sécurité des installations.

Attention, en anglais, les termes utilisés sont de faux amis, apparemment « inversés », puisque« safety » signifie sécurité et « security » signifie sûreté.

2. Evènements et accidents

Lignes de défense

Ensemble des dispositions adoptées en matière de conception, construction et modalités d'exploitation incluant les mesures d'urgence internes et externes, afin de prévenir l'occurrence et limiter les effets d'un phénomène dangereux et conséquences d'un accident potentiel associé.

Risque de confusion avec « fonctions de sécurité » et « barrières de sécurité ».

Cf schéma :

Illustration des lignes de défense d'une installation:

Internes à l'établissement, relevant de l'exploitant		conception, construction, formation, maintenance, inspection, entraînement opérationnels systèmes de conduite, supervision des opérateurs alarmes de sécurité, intervention des opérateurs automatismes de mise en sécurité sécurités ultimes plan d'opération interne

Externes à l'établissement, relevant de l'exploitant		Maîtrise de l'urbanisation- information du public plan particulier d'intervention

Événement redouté central

Evénement conventionnellement défini, dans le cadre d'une analyse de risque, au centre de l'enchaînement accidentel. Généralement, il s'agit d'une perte de confinement pour les fluides et d'une perte d'intégrité physique pour les solides. Les événements situés en amont sont conventionnellement appelés « phase pré-accidentelle » et les événements situés en aval « phase post-accidentelle ».

Événement initiateur

Evénement, courant ou anormal, interne ou externe au système, situé en amont de l'événement redouté central dans l'enchaînement causal et qui constitue une cause directe dans les cas simples ou une combinaison d'événements à l'origine de cette cause directe. Dans la représentation en « noeud papillon » (ou arbre des causes), cet événement est situé à l'extrémité gauche.

Phénomène dangereux (ou phénomène redouté)

Libération d'énergie ou de substance produisant des effets, au sens de l'arrêté du 29/09/2005, susceptibles d'infliger un dommage à des cibles (ou éléments vulnérables) vivantes ou matérielles, sans préjuger l'existance de ces dernières. C'est une « Source potentielle de dommages » (ISO/CEI 51)

Note : un phénomène est une libération de tout ou partie d'un potentiel de danger, la concrétisation d'un aléa.

Ex de phénomènes : « incendie d'un réservoir de 100 tonnes de fuel provoquant une zone de rayonnement thermique de 3 kW/m² à 70 mètres pendant 2 heures. », feu de nappe, feu torche, BLEVE, Boil Over, explosion, (U)VCE, dispersion d'un nuage de gaz toxique...

Ne pas confondre avec « accident » : Un phénomène produit des effets alors qu'un accident entraîne des conséquences/dommages.

Accident

Evénement non désiré, tel qu'une émission de substance toxique, un incendie ou une explosion résultant de développements incontrôlés survenus au cours de l'exploitation d'un établissement qui entraîne des conséquences/ dommages vis à vis des personnes, des biens ou de l'environnement et de l'entreprise en général. C'est la réalisation d'un phénomène dangereux, combinée à la présence de cibles vulnérables exposées aux effets de ce phénomène.

Ex : accident : « N blessés et 1 atelier détruit suite à l'incendie d'un réservoir de 100 tonnes de fuel».

Confusion fréquente avec le « phénomène dangereux » correspondant : un accident entraîne des conséquences (ou dommages) alors qu'un phénomène dangereux produit des effets.

Accident majeur

« Evénement tel qu'une émission, un incendie ou une explosion d'importance majeure résultant de développements incontrôlés survenus au cours de l'exploitation d'un établissement, entraînant pour les intérêts visés à l'article L.511-1 du code de l'environnement, des conséquences graves, immédiates ou différées, et faisant intervenir une ou plusieurs substances ou des préparations dangereuses.» (arrêté du 10 mai 2000 modifié)

NB : La définition utilisée pour les installations classées (dans l'arrêté du 10 mai 2000 modifié), se limite aux intérêts visés au L.511-1 du CE, à l'exclusion des dommages internes à l'établissement, qui peuvent également être importants (et relèvent du code du travail pour ce qui est des conséquences sur les personnes à l'intérieur de l 'établissement).

Scénario d'accident (majeur)

Enchaînement d'événements conduisant d'un événement initiateur à un accident (majeur), dont la séquence et les liens logiques découlent de l'analyse de risque. En général, plusieurs scénarios peuvent mener à un même phénomène dangereux pouvant conduire à un accident (majeur) : on dénombre autant de scénarios qu'il existe de combinaisons possibles d'événéments y aboutissant.». Les scénarios d'accident obtenus dépendent du choix des méthodes d'analyse de risque utilisées et des éléments disponibles.

Effets dominos

Action d'un phénomène dangereux affectant une ou plusieurs installations d'un établissement qui pourrait déclencher un autre phénomène sur une installation ou un établissement voisin, conduisant à une aggravation générale des effets du premier phénomène.

[effet domino = « accident » initié par un « accident »].

Ex : explosion d'une bouteille de gaz suite à un incendie d'entrepôt de papier

Cinétique

Vitesse d'enchaînement des événements constituant une séquence accidentelle, de l'événement initiateur aux conséquences sur les éléments vulnérables. Cf articles 5 à 8 de l'arrêté du 29/09/2005.

Gravité

On distingue l'intensité des effets d'un phénomène dangereux de la gravité des conséquences découlant de l'exposition de cibles de vulnérabilités données à ces effets.

La gravité des conséquences potentielles prévisibles sur les personnes, prises parmi les intérêts visés à l'article L.511-1 du code de l'environnement, résulte de la combinaison en un point de l'espace de l'intensité des effets d'un phénomène dangereux et de la vulnérabilité des personnes potentiellement exposées.

Exemple d'intensité (ou gravité potentielle) : le flux thermique atteint la valeur du seuil d'effet thermique létal à 50m de la source du flux.

Exemple de gravité : 3 morts et 16 blessés grièvement brûlés par le flux thermique.

Effets d'un phénomène dangereux

Ce terme décrit les caractéristiques des phénomènes physiques, chimiques,... associés à un phénomène dangereux concerné : flux thermique, concentration toxique, surpression....

Intensité des effets d'un phénomène dangereux

Mesure physique de l'intensité du phénomène (thermique, toxique, surpression, projections). Parfois appellée gravité potentielle du phénomène dangereux (mais cette expression est source d'erreur). Les échelles d'évaluation de l'intensité se réfèrent à des seuils d'effets moyens conventionnels sur des types d'éléments vulnérables [ou cibles] tels que « homme », « structures ». Elles sont définies, pour les installations classées, dans l'arrêté du 29/09/2005. L'intensité ne tient pas compte de l'existence ou non de cibles exposées. Elle est cartographiée sous la forme de zones d'effets pour les différents seuils.

Conséquences

Combinaison, pour un accident donné, de l'intensité des effets et de la vulnérabilité des cibles situées dans les zones exposées à ces effets. Elles s'expriment en définissant la nature et la gravité des atteintes portées à ceux-ci. Le terme « dommages » est parfois employé pour désigner les conséquences : « Blessure physique ou atteinte à la santé des personnes, ou atteintes aux biens ou à l'environnement » (ISO/CEI 51).

N.B. : les effets, éléments bien réels, n'entraînent cependant de dommages/conséquences que si des éléments vulnérables sont présents (probabilité de présence et durée d'exposition) et si les valeurs des paramètres qui caractérisent les effets (intensité, durée des effets,...) débordent les valeurs des critères caractérisant la vulnérabilité des "éléments vulnérables" susceptibles d'être affectés.

Exemple : conséquence d'un même flux thermique « létal significatif » de 8 kw/m² en un point [zone] : s'il s'y trouve des personnes non protégées, elles seront brûlées à différents degrés avec un risque significatif de décès, mais si personne ne s'y trouve, il n'y aura pas de conséquences humaines.

L'échelle de cotation de la gravité des conséquences sur les personnes, prises parmi les intérêts visés à l'article L.511-1 du code de l'environnement, est donnée en annexe de l'arrêté du 29 septembre 2005.

Eléments vulnérables (ou enjeux)

Eléments tels que les personnes, les biens ou les différentes composantes de l'environnement susceptibles, du fait de l'exposition au danger, de subir, en certaines circonstances, des dommages. Le terme de « cible » est parfois utilisé à la place d'élément vulnérable. Cette définition est à rapprocher de la notion « d'intérêt à protéger » de la législation sur les installations classée (art. L.511-1 du Code de l'Environnement).

Vulnérabilité

1/ « vulnérabilité d'une cible à un effet x » (ou « sensibilité ») : facteur de proportionnalité entre les effets auxquels est exposé un élément vulnérable (ou cible) et les dommages qu'il subit.

2/ « vulnérablilité d'une zone » : appréciation de la présence ou non de cibles ; vulnérabilité moyenne des cibles présentes dans la zone.

La vulnérabilité d'une zone ou d'un point donné est l'appréciation de la sensibilité des éléments vulnérables [ou cibles] présents dans la zone à un type d'effet donné.

Par exemple, on distinguera des zones d'habitat, des zones de terres agricoles, les premières étant plus vulnérables que les secondes face à un aléa d'explosion en raison de la présence de constructions et de personnes. (Circulaire du 02/10/03 du MEDD sur les mesures d'application immédiate introduites par la loi n° 2003-699 en matière de prévention des risques technologiques dans les installations classées).

(NB : zone d'habitat et zone de terres agricoles sont deux types d'enjeux. On peut différencier la vulnérabilité d'une maison en parpaings de celle d'un bâtiment largement vitré.)

Probabilité d'occurrence :

Au sens de l'article L.512-1 du code de l'environnement, la probabilité d'occurrence d'un accident est assimilée à sa fréquence d'occurrence future estimée sur l'installation considérée. Elle est en général différente de la fréquence historique et peut s'écarter, pour une installation donnée, de la probabilité d'occurrence moyenne évaluée sur un ensemble d'installations similaires.

Attention aux confusions possibles :

assimilation entre probabilité d'un accident et celle du phénomène dangereux correspondant, la première intégrant déjà la probabilité conditionnelle d'exposition des cibles. L'assimilation sous-entend que les cibles sont effectivement exposées, ce qui n'est pas toujours le cas, notamment si la cinétique permet une mise à l'abri.
probabilité d'occurrence d'un accident x sur un site donné et probabilité d'occurrence de l'accident x, en moyenne, dans l'une des N installations du même type (approche statistique)

Probabilité d'occurrence d'un phénomène dangereux

Cette probabilité est obtenue par agrégation des probabilités des scénarios conduisant à un même phénomène, ce qui correspond à la combinaison des probabilités de ces scénarios selon des règles logiques (ET/OU). Elle correspond à la probabilité d'avoir des effets d'une intensité donnée (et non des conséquences)

Attention aux confusion avec : probabilité d'accident.

Probabilité conditionnelle d'exposition d'une cible à un effet donné, pour une intensité donnée d'un phénomène dangereux

Probabilité que la cible soit atteinte par l'effet à l'intensité considérée, compte tenu des mesures de mise à l'abri éventuelles, considérant que le phénomène s'est produit.

Probabilité d'accident de conséquences C découlant d'un phénomène dangereux

Elle est égale à la combinaison de :

par

la probabilité d'occurrence du phénomène
l'agrégation des probabilités conditionnelles des différents scénarios d'exposition des cibles (= différentes possibilités de mise à l'abri d'un certain nombre de personnes), sachant que le phénomène dangereux s'est produit,

conduisant à une conséquence conventionnelle C,.

Risque résiduel

« Risque subsistant après le traitement du risque » (ISO/CEI 73), « Risque subsistant après que des mesures de prévention aient été prises » (ISO/CEI 51).

Note : le terme 'mesures de prévention' est ici à prendre au sens de l'ensemble des mesures permettant de réduire le risque à la source, ce terme étant traduit de l'anglais.

Traitement du risque

« Processus de sélection et de mise en oeuvre des mesures visant à modifier le risque » (ISO/CEI 73)

3. Fonctions et barrières de sécurité

NB : dans ce chapitre, le vocabulaire utilisé en risques technologiques ne peut pas être comparé à celui des risques naturels, car il n'est pas possible d'agir à la source du danger en risques naturels alors que c'est souvent possible en matière de risques technologiques.

Prévention

Mesures visant à prévenir un risque en réduisant la probabilité d'occurrence d'un phénomène dangereux.

Protection

Mesures visant à limiter l'étendue ou/et la gravité des conséquences d'un accident sur les éléments vulnérables, sans modifier la probabilité d'occurrence du phénomène dangereux correspondant.

NB : des mesures de protection peuvent être mises en oeuvre « à titre préventif », avant l'accident, comme par exemple un confinement. La maîtrise de l'urbanisation, visant à limiter le nombre de personnes exposées aux effets d'un phénomène dangereux, et les plans d'urgence visant à mettre à l'abri les personnes sont des mesures de protection.

Limitation

Mesures visant à limiter les effets d'un phénomène dangereux, sans en modifier la probabilité d'occurrence. Ceci peut être réalisé par des mesures passives (ex : mur coupe feu, confinement d'une unité), automatiques (ex : fermeture de vannes asservie à une détection gaz, rideaux d'eau à déclenchement asservi à une détection) ou actives (plan d'urgence interne).

Fonction de sécurité

Fonction ayant pour but la réduction de la probabilité d'occurrence et/ou des effets et conséquences d'un événement non souhaité dans un système. Les principales actions assurées par les fonctions de sécurité en matière d'accidents majeurs dans les installations classées sont : empêcher, éviter, détecter, contrôler, limiter. Les fonctions de sécurité identifiées peuvent être assurées à partir de barrières techniques de sécurité, de barrières organisationnelles (activités humaines), ou plus généralement par la combinaison des deux. Une même fonction peut être assurée par plusieurs barrières de sécurité.

Mesure de sécurité (ou barrière de sécurité ou mesure de maîtrise des risques)

Ensemble d'éléments techniques et/ou organisationnels nécessaires et suffisants pour assurer une fonction de sécurité. On distingue parfois :

Les mesures (ou barrières) de prévention : mesures visant à éviter ou limiter la probabilité d'un événement indésirable, en amont du phénomène dangereux.
Les mesures (ou barrières) de limitation : mesures visant à limiter l'intensité des effets d'un phénomène dangereux.
Les mesures (ou barrières) de protection : mesure visant à limiter les conséquences sur les cibles potentielles par diminution de la vulnérabilité.

Risque de confusion : Fonction et barrière, ligne de défense et barrière.

NB : ne pas confondre barrière redondante et deux barrières

(ex : vanne manuelle + vanne automatique = 1 barrière redondante et non 2 barrières)

Mesure de sécurité « complémentaires » - « supplémentaires »

Dans les textes, on distingue les mesures de sécurité complémentaires, mises en place par l'exploitant à sa charge, des mesures supplémentaires éventuellement mises en place, faisant l'objet d'un financement tripartite tel que mentionné à l'article L.515-19 du code de l'environnement.

Performance des barrières

L'évaluation de la performance se fait au travers de leur efficacité, de leur temps de réponse et de leur niveau de confiance au regard de leur architecture (en référence à la norme EN NF 61 508, des pratiques de maintenance, des pratiques des tests...).

Efficacité (Pour une barrière de sécurité) ou capacité de réalisation

Capacité à remplir la mission/fonction de sécurité qui lui est confiée pendant une durée donnée et dans son contexte d'utilisation. En général, cette efficacité s'exprime en pourcentage d'accomplissement de la fonction définie. Ce poucentage peut varier pendant la durée de sollicitation de la barrière de sécurité. Cette efficacité est évaluée par rapport aux principes de dimensionnement adapté et de résistance aux contraintes spécifiques.

Ex : Un rideau d'eau abattant une fuite toxique d'efficacité 80%, la concentration juste après le rideau d'eau ne doit plus que de 20% de la concentration avant rideau.

Temps de réponse

(pour une barrière de sécurité) : Intervalle de temps requis entre la sollicitation et l'exécution de la mission/fonction de sécurité. Ce temps de réponse est inclus dans la cinétique de mise en oeuvre d'une fonction de sécurité, cette dernière devant être en adéquation [significativement plus courte] avec la cinétique du phénomène qu'elle doit maîtriser.

Ex : Un rideau d'eau alimenté par un réseau, avec vanne pneumatique/motorisée asservie à une détection ammoniac, dont la fonction de sécurité est d'abattre 80% de la fuite d'ammoniac a un temps de réponse égal à la durée séparant l'envoi de la commande à la vanne du moment où le rideau fonctionne en régime permanent (en supposant qu'il est correctement dimensionné pour abattre 80% de la fuite réelle). Sur cet exemple, la cinétique de mise en oeuvre correspond à l'ensemble de la durée entre l'apparition de la fuite, sa détection, le traitement du signal de détection ajouté au temps de réponse.

Niveau de confiance: [notion utilisée dans certaines méthodes d'analyse de risque]

Le niveau de confiance est l'architecture (redondance éventuelle) et la classe de probabilité, inspirés des normes NF EN 61-508 et CEI 61-511, pour qu'une barrière, dans son environnement d'utilisation, assure la fonction de sécurité pour laquelle elle a été choisie. Cette classe de probabilité est déterminée pour une efficacité et un temps de réponse donnés. Ce niveau peut être déterminé suivant les normes NF EN 61-508 et CEI 61-511 pour les systèmes instrumentés de sécurité. Cf rapport INERIS W-10 de mars 2005.

Element Important pour la Sécurité (IPS)

Ces éléments peuvent être des équipements (vannes, lignes de mesures...), dispositifs de sécurité ou groupe de dispositifs de sécurité, des tâches, des opérations réalisées par un individu, des procédures (formation, habilitation, fabrication, intervention...), ou des paramètres. La sélection de ces éléments est faite par l'exploitant selon une méthodologie qu'il explicite, en lien avec l'analyse de risques, dans un objectif de maîtrise des risques majeurs dans toutes les phases d'exploitation des installations, y compris en situation dégradée. Ces éléments doivent être testables et une traçabilité doit être assurée, ainsi que l'interface avec le SGS.

Pour être qualifiés d'IPS, un élément doit être choisi parmi les barrières destinées à prévenir l'occurrence ou à limiter les effets d'un événement redouté central susceptible de conduire à un accident majeur. Ils doivent être disponibles et fiables, caractéristiques qui peuvent être appréciées à travers les principes suivants : principes de concept éprouvé, de sécurité positive, de tolérance à la première défaillance, de résistance aux contraintes spécifiques, de testabilité et d'inspection-maintenance spécifique. (cf rapport INERIS W-6 de mai 2003 et document technique 65 de l'UIC de décembre 1999).

Indépendance d'une barrière

Faculté d'une barrière, de par sa conception, son exploitation et son environnement, à ne pas dépendre du fonctionnement d'autres éléments et notamment d'une part d'autres barrières, et d'autre part, du système de conduite de l'installation, afin d'éviter les modes communs de défaillance ou de limiter leur fréquence d'occurrence.

Principe de sécurité positive (ou sécurité à manque)

Un équipement est dit « à sécurité positive » lorsqu'une perte du fluide moteur (dont électricité) ou des utilités conduit l'équipement à se mettre en situation sécuritaire stable ; la position de sécurité du système doit être maintenue dans le temps.

Principe de tolérance aux anomalies matérielles

Une fonction de sécurité est considérée comme « tolérante à une anomalie » lorsque le dysfonctionnement d'un des éléments qui la composent ne perturbe pas sa réalisation.

Principe de tolérance à la première défaillance

Une fonction de sécurité devra rester disponible en cas de défaillance unique d'un des éléments assurant cette fonction. La redondance est un moyen d'atteindre cet objectif.

Principe de « concept éprouvé »

Un équipement est dit de conception éprouvée lorsqu'il est utilisé depuis plusieurs années sur des sites industriels et que le retour d'expérience sur son application est bon, ou qu'il a subi des tests de « qualification » par l'utilisateur ou d'autres organismes (rapport INERIS W-10 de mars 2005). Ce principe doit être utilisé avec précaution, car il n'inclut pas les facteurs autres que la conception (contexte et historique d'utilisation sur un site donné, organisation.....).

Principe de résistance aux contraintes spécifiques

Les dispositifs assurant la fonction de sécurité doivent être conçus de manière à resister aux contraintes spécifiques internes (par exemple liées aux produits manipulés, à l'exploitation...) et externes (liées à l'environnement du système, par exemple météo...).

Principe de testabilité

Les dispositifs, et en particulier les chaînes de transmission, doivent être conçus pour permettre de s'assurer périodiquement par test de leur efficacité.

Principe d'inspection-maintenance spécifique

Une organisation doit être mise en place (dans le cadre du SGS) afin de s'assurer de la pérennité des principes définis ci-dessus.

Redondance

Existence, dans une entité, de plus d'un moyen pour accommplir une fonction requise (CEI6271-1974)

Références :

rapport Ω-6 de l'INERIS :
« Formalisation du savoir et des outils dans le domaine des risques majeurs : éléments importants pour la sécurité (EIPS) (2003) »

rapport Ω-10 de l'INERIS :
« Evaluation des dispositifs de prévention et de protection utilisés pour réduire les risques d'accidents majeurs : Evaluation des Barrières Techniques de Sécurité (2005) »

Annexe : Tableau de correspondance des termes utilisés dans les textes réglementaires antérieurs au glossaire avec ce glossaire

Texte	Article	Mot utilisé (à tort parfois)	Mot du glossaire qu'il faudrait lire à la place
Livre V, Titre Ier du Code de l'environnement
	L.511-1, L.512-4, L.512-7, L.512-8, L.512-15, L.514-4, L.514-6, L.514-7, L .514.20, L.516-1	Présenter des « dangers ou inconvénients »	« risques ou inconvénients »
	L.511-2	Suivant la gravité des dangers ou des inconvénients	importance des risques
	L.512-1	Présentent de graves dangers Les effets de ces accidents	Risques importants Les conséquences possibles
	L.512-2	Dans le cas où les risques peuvent concerner	risques
	L.512-11	En fonction des risques qu'elles présentent	risques
	L.515-8	I- Susceptible de créer, par danger d'explosion ou d'émanation de produits nocifs, des risques très importants Risques supplémentaires créés par une installation II- 2° limiter le danger d'exposition aux explosions III- nature et intensité des risques encourus	par explosion ou émanation de produits Risques Risques La vulnérabilité aux explosions Nature et importance des risques
	L.515-15	Limiter les effets d'accidents	Conséquences d'accidents
	L.515-16	En fonction du type de risques, de leur gravité II-risques importants d'accident [...] présentant un danger grave pour la vie humaine III- présentant un danger très grave Lorsque la gravité des risques potentiels IV- V - protection des populations face aux risques encourus	Type d'aléa, de leur importance Risques importants Une intensité létale Une intensité létale significative L'importance de l'aléa Risques
	L.515-17	Risques créés par des installations	aléa
	L.515-19	I- Si la gravité des risques potentiels ; Mesures supplémentaires de prévention des risques	L'importance de l'aléa de réduction du risque à la source = de réduction de l'aléa
	L.515-19 II., L.515-20, L.515-22,	installations à l'origine du risque	Risque
	L.516-1	Installations [...] présentant un risque important de pollution	risque
Décret 77-1133 du 21 septembre 1977 modifié
	Art.2-4°, 3-5°§3, 19, 20, 23-6, 34-1,	les dangers et inconvénients de l'installation	Risques et inconvénients
	Art.3-5° modifié 2005	§1- niveau de risque aussi bas... §2- explicite... zones d'effets des accidents potentiels ainsi qu'une cartographie des zones de risques §6- en relation avec l'importance des risques de l'installation et leurs conséquences prévisibles	Niveau de risque Zones d'effets risques
	Art.5-4°	Communes concernées par les risques et inconvénients dont l'établissement...	risques
	Art.17	[...] par un accident, quant aux dangers encourus, aux mesures de sécurité et au comportement à adopter	risques
	Art.24-1	Susceptible de créer, par danger d'explosion [...], des risques très importants	Par explosion ou émanation ... des risques
	Art.24-3	Parer aux risques très importants 2°et 3°- [...]dus à une émanation [...] ou à toute autre cause accidentelle ; nature et intensité des dangers encourus	Risques Accident Nature et gravité des conséquences potentielles

(1) : L'acceptation (ou l'acceptabilité) d'un risque dépend donc du point de vue de la personne qui accepte, du contexte et de l'époque. Elle peut être notamment basée sur une comparaison à d'autres risques (inondation, accident de voiture...).