Mémoire numérisé par la Division de la gestion de documents et des archives de l'Université de Montréal

L'analyse des risques est un élément essentiel pour la prise de décision réglementaire liée aux industries à haut risques. Une analyse systématique des risques se compose de trois étapes: (i) l’identification des scénarios indésirables de risque. (ii) l’estimation de la probabilité d'occurrence des scénarios des risques. (iii) le calcul d’effet des conséquences des scénarios de risque identifiés. L'analyse de la vraisemblance et de la gravité s'effectue à l'aide de modèles qui dépendent de plusieurs paramètres d'entrée. Cependant, la fiabilité de l'analyse de risque est limitée grâce à diverses sources d'incertitude. L’incertitude des paramètres, du modèle et d'incomplétude sont les principales sources d'incertitude. L’incertitude de paramètres découle de l'incapacité de définir des valeurs exactes à certains paramètres d'entrée utilisés pour l'analyse de la probabilité et de l’effet. L'incertitude de l’incomplétude provient de ne pas tenir compte de l’ensemble des contributions au risque dans le processus d'identification (certains événements initiateurs sont ignorés). L'incertitude du modèle n'est pas prise en compte dans ce travail. L'INERIS (Institut national de l'environnement industriel et des risques) a développé une approche semi-quantitative d'intervalle pour l’évaluation de la probabilité des risques qui utilise des informations quantitatives si disponibles ou des informations qualitatives, sinon. Cependant, cette approche semi-quantitative d'intervalle présente certains inconvénients en raison de l'incertitude des paramètres. L'information concernant les paramètres d’entrée des modèles d’effets est souvent incomplète, vague, imprécise ou subjective. En outre, certains paramètres peuvent être de nature aléatoire et ont des valeurs différentes. Cela conduit à deux différents types d'incertitude des paramètres. L'incertitude aléatoire dû à la variabilité naturelle. L’autre est l’incertitude épistémique, causée par le manque d'informations, par exemple, une imprécision de mesure. De plus, dans les méthodes d'analyse de risque actuelles, l'étape d'identification est incomplète. Juste les scénarios liés à la sûreté causés par des événements accidentels sont pris en compte durant l’analyse. L'introduction de systèmes connectés et de technologies numériques dans l’Industrie crée de nouvelles menaces de cyber-sécurité qui peuvent entraîner des accidents de sûreté indésirables. Ces événements liés à la cyber-sécurité doivent être pris en compte lors de l'analyse des risques industriels. Cette recherche vise à développer des méthodologies d'analyse d'incertitude pour traiter l'incertitude dans le processus d'analyse de risque de l’INERIS. En d'autres termes, analyser l'incertitude dans l'analyse de la probabilité, l'analyse des effets et l'étape d'identification. Dans ce travail, nous traitons les limites de l'approche semi-quantitative d'intervalle en introduisant la notion de nombres flous au lieu d'intervalles. Les nombres flous sont utilisés pour traiter l'incertitude dans les données d’entrée. Une méthodologie hybride qui traite chaque cause de l'incertitude des paramètres dans l'analyse des effets avec la bonne théorie est développée. La théorie de la probabilité est utilisée pour représenter la variabilité, les nombres flous sont utilisés pour représenter l'imprécision et la théorie d’évidence est utilisée pour représenter l'ignorance, l'incomplétude ou le manque de consensus. Une nouvelle méthodologie d'identification des risques qui considère la sûreté et la sécurité ensemble lors de l'analyse des risques industriels est développée. Cette approche combine Nœud-Papillon (BT), utilisé pour l'analyse de sûreté, avec une nouvelle version étendue de l’arbre d’attaque (AT), introduite pour l'analyse de cybersécurité des systèmes de contrôle industriel. L'utilisation combinée d'AT-BT fournit une représentation exhaustive des scénarios de risque en termes de sûreté et de sécurité. / Risk analysis is a critical part for regulatory decision-making related to high-risk risk industries. A systematic risk analysis is made up of three steps: (i) identifying the undesirable risk scenarios. A risk scenario is characterized by referencing to the potential event with its causes and consequences. (ii) Estimating the likelihood of occurrence of risk scenarios. (iii) Calculating the effect of consequences of the identified risk scenarios. Likelihood and effect analysis are carried out with the help of models that depend on several number of input parameters.However, the trustworthiness of risk analysis is limited when inaccuracies in the results can occur, and are due to various sources of uncertainty. Parameter, model and completeness uncertainties are the main sources of uncertainty. Parameter uncertainty arises from the inability to set exact values for certain input parameters used for likelihood and severity analysis. Completeness uncertainty originates from not considering all contributions to risk in the identification process (some initiating events are ignored). Model uncertainty is not considered in this work.The INERIS (French National Institute for Industrial Environment and Risks) has developed an interval semi-quantitative approach that uses both quantitative information if available or qualitative information if not. However, this interval semi-quantitative approach has some drawbacks due to parameter uncertainty.Information regarding model parameters used for effect analysis is often incomplete, vague, imprecise or subjective. Moreover, some of the parameters may be random in nature and have different values. This leads to two different types of parameter uncertainty that need to be accounted for an accurate risk analysis and effective decision-making. Aleatoric uncertainty arises from randomness due to natural variability resulting from the variation of a value in time. Or epistemic uncertainty caused by the lack of information resulting, for example, from measurement errors, subjectivity expert judgment or incompleteness.Moreover, the identification step is incomplete where only safety related scenarios caused by accidental events are considered. The introduction of connected systems and digital technology in process industries creates new cyber-security threats that can lead to undesirable safety accidents. These cyber-security related events should be considered during industrial risk analysis.This research aims to develop uncertainty analysis methodologies to treat uncertainty in the INERIS risk analysis process. In other words, to analyze uncertainty in likelihood analysis, effect analysis and the identification step.In this work, we propose a fuzzy semi-quantitative approach to deal with parameter uncertainty in the likelihood analysis step. We handle the limits of the interval semi-quantitative approach by introducing the concept of fuzzy numbers instead of intervals. Fuzzy numbers are used to represent subjectivity in expert judgments (qualitative data) and covers uncertainty in the quantitative data if this data exists.A hybrid methodology that treat each cause of parameter uncertainty in effect analysis with the right theory is developed. Probability theory is used to represent variability, fuzzy numbers are used to represent imprecision and evidence theory is used to represent vagueness, incompleteness and the lack of consensus.A new risk identification methodology that considers safety and security together during industrial risk analysis is developed. This approach combines Bow-Tie Analysis (BTA), commonly used for safety analysis, with a new extended version of Attack Tree Analysis (ATA), introduced for security analysis of industrial control systems. The combined use of AT-BT provides an exhaustive representation of risk scenarios in terms of safety and security.

Les produits phytopharmaceutiques, communément appelés pesticides, sont utilisés pour lutter contre les organismes nuisibles aux plantes et, ce faisant, assurer les rendements agricoles et les approvisionnements alimentaires. L'encadrement juridique français de ces produits s'est donc d'abord intéressé à garantir leur efficacité. Dans un second temps seulement, il a cherché à limiter les risques qu'ils présentent pour la santé et l'environnement. Depuis la stratégie thématique communautaire sur l'utilisation durable des pesticides, l'objectif qui lui est assigné est plus ambitieux, car il s'agit de réduire la dépendance de l'agriculture aux pesticides. Au-delà de la réduction des quantités de produits utilisées, il devient alors nécessaire d'adopter de nouvelles pratiques de lutte et, plus encore, de nouvelles méthodes agronomiques permettant de prévenir l'apparition et le développement des nuisibles. Or, les règles relatives à la mise sur le marché des produits phytopharmaceutiques, coeur du dispositif juridique, si elles réduisent le niveau de risque acceptable pour la santé et l'environnement des pesticides, peinent à atteindre cet objectif. Il en va de même du nouvel encadrement de l'utilisation des pesticides, pourtant plus prometteur. Pour réorienter les pratiques agricoles, il s'avère nécessaire de faire appel aux ressources de l'ensemble du droit agricole. Or, qu'il s'agisse du recours aux instruments de marché ou du cadre très structurant de la politique agricole commune, l'intégration, certes croissante, des préoccupations sanitaires et environnementales reste à un niveau encore insuffisant pour modifier substantiellement les pratiques. / Plant protection products, also known as pesticides, are used to fight against offensive organisms on plants. By doing so, they also guarantee crop yield and food supplying. French legal framework has been genuinely built to ensure market efficiency to these products even before trying to limit their impact on health and environment. With the community thematic strategy on sustainable use of pesticides, its objective gets more aspiring as it now concerns the reduction of farming dependency on pesticides. But more than reducing the use of these products, it becomes necessary to implement new practices. Moreover, new agronomical methods have to be set up against pest emergence and its uncontrolled growth. Although market rules on plant protection products, which are in the core of the legal package, do lower the risk on health and environment, they hardly reach this goal. It is the same analysis with the yet promising legal framework on pesticides use. Calling on the entire resources of agricultural law becomes necessary in order to redirect farming practises. In spite of the help from both market instruments and the very structuring framework of the common agricultural policy, the growing integration of health and environmental concern stays at an unsufficient level to substantially change these practices.

Les travaux menés dans cette thèse CIFRE s’inscrivent dans le cadre d’une collaboration pérenne entre le CRAN et l'EDF R&D dont un des résultats majeurs a été le développement d'une méthodologie d’analyse de risques, appelée Analyse Intégrée des Risques (AiDR). Cette méthodologie traite des systèmes sociotechniques sous les angles technique, humain et organisationnel et dont les équipements sont soumis à des actions de maintenance et/ou de conduite. La thèse a pour objet ainsi de proposer une évolution du modèle dit de « barrière humaine » développé dans l'AiDR pour évaluer l'efficacité de ces actions humaines prises leur contexte organisationnel. Nos contributions majeures s'organisent autour de 3 axes : 1. Une amélioration de la structure préexistante du modèle de barrière humaine afin d’aboutir à un modèle basé sur des facteurs de forme appelés performance shaping factors (PSF) fournis par les méthodes d’Évaluation Probabiliste de la Fiabilité Humaine (EPFH) ;2. L’intégration de la résilience et la modélisation de l’interaction entre mécanismes résilients et pathogènes impactant l'efficacité des actions dans les relations causales probabilistes ;3. Un traitement global des jugements d’expert cohérent avec la structure mathématique du modèle proposé permettant d’estimer d’une manière objective les paramètres du modèle. Ce traitement se fonde sur la construction d’un questionnaire permettant de "guider" l’expert vers l’évaluation d’effets conjoints issus de l’interaction entre mécanismes pathogènes et résilients. L’ensemble des contributions proposées a été validé sur un cas d’application portant sur une barrière humaine mise en place dans un cas d’inondation externe d’une unité de production d’électricité d’EDF / The work carried out in this CIFRE PhD thesis is part of a long-term collaboration between CRAN and EDF R&D, one of the major results of which was the development of a risk analysis methodology called Integrated Risk Analysis (AiDR). This methodology deals with sociotechnical systems from technical, human and organizational points of view and whose equipment is subjected to maintenance and/or operation activities. This thesis aims to propose an evolution of the so-called "human barrier" model developed in the AiDR in order to evaluate the effectiveness of these human actions taken their organizational context. Our major contributions are organized around 3 axes: 1. Improvement of the pre-existing structure of the human barrier model to achieve a model based on performance shaping factors (PSF) provided by the Human Reliability Assessment (HRA) methods; 2. Integration of resilience and modeling of the interaction between resilient and pathogenic mechanisms impacting the effectiveness of activities in a probabilistic causal framework; 3. A global treatment of the expert judgments consistent with the mathematical structure of the proposed model in order to objectively estimate the parameters of the model. This treatment is based on a questionnaire to guide experts towards the evaluation of joint effects resulting from the interaction between pathogenic and resilient mechanisms. All of the proposed contributions have been validated on an application case involving a human barrier put in place during an external flooding occurring at an EDF power plant

Depuis la révolution industrielle, l'Homme développe des systèmes industriels pour satisfaire ses exigences de production. Mais exploiter ces installations n'est pas sans risques pour les utilisateurs. De ce fait, l'analyse des risques s'est largement développée durant ces dernières décennies. En effet, si dans les années 70, les études se focalisaient sur les défaillances technologiques, des accidents ont souligné l'importance des facteurs humains et organisationnels dans leur occurrence. Si bien que dans les années 80, des méthodes consacrées à l'identification de ces facteurs ont émergées. Ces études, impliquant différentes disciplines, étaient jusqu'alors conçues et conduites séparément les unes des autres. Cet état de fait amène à une sectorisation des analyses et ne permet pas d'avoir une vision globale de la situation étudiée. Mais, depuis peu, des méthodologies proposent d'intégrer (partiellement) ces dimensions dans la démarche d'analyse. Le manque d'intégration constitue aujourd'hui une problématique, scientifique et industrielle, pour les exploitants de systèmes critiques. Ainsi, notre contribution porte sur le développement d'une méthodologie permettant l'analyse de risques de systèmes socio-techniques en exploitation. Ce type d'analyse vise à probabiliser le risque à des fins d'aide à la décision. En ce sens, nous proposons une démarche de formalisation, d'intégration, de représentation et de modélisation des différentes connaissances du système. Le modèle présenté permet d'identifier l'ensemble des causes menant à l'occurrence d'un événement critique, en considérant les données techniques du système et les données liées aux opérateurs et à l'organisation.

Les travaux de cette thèse portent sur l'élaboration d'une approche d'anticipation des comportements possibles de l'opérateur humain lorsqu'il ne respecte pas certaines règles de sécurité. Le non-respect des règles de sécurité, considéré comme une erreur humaine, constitue la source majeure d'incidents/accidents dans le domaine des agroéquipements. Ce domaine caractérisé par un manque de formalisation de son REX. L'approche proposée consiste à définir une méthodologie permettant de proposer des plans d'actions humaines possibles résultant d'un non-respect des règles de sécurité et de les évaluer par la suite. La génération des plans d'actions alternatifs aux prescriptions est réalisée à travers un outil que nous avons développé, baptisé A2PG (Alternative Action Plan Generator). Ce dernier, s'inspirant des modèles de l'opérateur humain, est basé sur les paramètres suivants à définir : la tâche à réaliser et le catalogue d'actions qui contient l'ensemble des actions, des pré-conditions nécessaires et de sécurité associées à chaque action ainsi que les effets de l'exécution de l'action. Le non-respect peut être modélisé au niveau d'A2PG par la variation d'au moins un de ses paramètres (sauf les pré-conditions nécessaires). Nous nous sommes intéressés plus particulièrement à la variation des pré-conditions de sécurité, c'est-à-dire la non-prise en compte par l'opérateur humain des pré-conditions de sécurité. Des algorithmes de génération des plans d'actions alternatifs ont été mises en œuvre. L'identification des plans a été réalisée à travers une adaptation de l'algorithme SHOP2 qui se base sur le planificateur HTN (Hierarchical Task Network). Les plans alternatifs sont élaborer par un algorithme qui permet principalement de définir les combinaisons de pré-conditions de sécurité à considéré dans la spécification d'A2PG et dont au moins une pré-condition de sécurité est supprimée. L'applicabilité de l'approche a été démontrée sur le cas des tondeuses à gazon autoportées.

S'appuyant sur une démarche qualité et l'utilisation de moyens d'analyse de données fiables, les acteurs opérationnels cherchent à adresser quotidiennement deux aspects : le contrôle et la réduction continus de la variabilité d'une part et la gestion, évaluée de risque et des actions à entreprendre d'autre part. Cette thèse s'intéresse en particulier au second aspect. Néanmoins, le contrôle et la réduction continue de la variabilité n'ont jamais été négligés puisqu'ils ont servi à quantifier opérationnellement les gains obtenus par la méthodologie proposée. La question centrale de cette thèse vient adresser les deux préoccupations citées précédemment : Comment évaluer et améliorer la performance des moyens et processus de production par le biais d'une analyse de risque qui soit dynamique et intégrée. Comment définir par la suite des plans d'action unifiés et robustes pour maîtriser la variabilité et éviter les non conformités ? Cette thèse propose une méthode globale de gestion dynamique des plans d'actions. Il s'agit d'établir dans un premier temps des liens continus entre les événements réels des équipements et le niveau de risque estimé. Et de proposer un processus de gestion des plans d'actions unifié, joignant l'expertise humaine et les évènements réels, d'aide à la décision et de gestion des retours d'expérience. Cette thèse propose des solutions de gestion des risques opérationnels et des méthodologies de travail appliquées dan le domaine de l'industrie des semiconducteurs mais qui sont génériques et applicables dans d'autres secteurs industriels.

Ce travail de recherche vise à développer une méthode pour l'analyse de la robustesse des plans de secours industriels. Des défaillances peuvent survenir lors de la mise en œuvre de ces plans, qui peuvent entrainer à un fonctionnement en mode dégradé des dispositifs. Les approches existantes d’analyse de ces plans ne permettent pas une analyse structurée du dispositif de gestion de crise. La méthodologie proposée dans le cadre de ce travail repose sur une formalisation structuro-fonctionnelle et générique des plans de secours industriels, décrivant à la fois les fonctions et les ressources permettant la réalisation de ces fonctions. De plus, ce travail s’est accompagné de retours d’expérience à partir de 159 rapports d’accidents et de 61 exercices POI/PPI, qui ont permis d’identifier des défaillances pouvant survenir lors de la mise en œuvre des POI/PPI. Le modèle développé et les informations obtenues par le retour d’expérience permettent de structurer l’analyse des dysfonctionnements pouvant se manifester lors de la mise en œuvre des plans. Cette analyse de la robustesse est basée sur une évaluation du risque de défaillance des fonctions du plan. La probabilité de défaillance est estimée à partir des questions d’évaluation et des arbres de défaillances des ressources et des fonctions. La gravité de la défaillance de chaque fonction est déterminée en utilisant les études de dangers de l’installation, en suivant la règle des dommages maximum qu’elle peut provoquer. La criticité de défaillance de chaque fonction est ainsi obtenue, et la criticité du plan résulte de l'agrégation des criticités de ses fonctions. Cette méthodologie constitue ainsi une boite à outils qui peut être utilisée à la fois pour l’évaluation des plans existants, mais aussi pour l’élaboration du dispositif défini dans un plan de secours industriel. / The objective of this research thesis is to develop a methodology for the analysis of robustness of industrial emergency plans. Failures can occur when these plans are put into action; they can result to deteriorated operating conditions for these systems. Existing emergency plan analysis approaches do not allow for a structured analysis of the emergency response mechanism. The methodology developed in this research project is based on a structuro-functional and generic formalization of industrial emergency plans, which describes both the functions of the plans and the resources necessary for accomplishing them. Furthermore, lessons learned through the analysis of 159 industrial accidents and 61 internal and external industrial emergency plan exercises have led to the identification of failures that may occur during the use of industrial emergency plans for emergency response. The model that was developed and the information obtained through experience feedback result in a structured analysis of failures of these plans. This robustness analysis is based on the failure risk assessment of the plan’s functions. The failure probability is estimated through assessment questions and the plan’s functions and resources fault trees. The failure severity of each function is determined by using the facility’s hazard study and by applying the maximum damage rule. The failure criticality of each function is hence obtained, and the plan’s criticality results from the aggregation of the criticalities of the plan’s functions. The approach followed is hence based on a failure risk analysis, which in turn is built upon lessons learned and the critical analysis of the plan’s model. This methodology therefore constitutes a toolbox that can be used both for the analysis of existing plans and the development of emergency response mechanism.

Le travail de recherche propose et développe un cadre de système des systèmes (SdS) pour l’analyse de risques des installations industrielles et des infrastructures critiques. Les méthodes pour la représentation, la modélisation et la simulation d’un système sont développées pour identifier les particularités du SdS quant à leur vulnérabilité et leur résilience physique à des défaillances aléatoires et risques naturels. Plusieurs techniques de représentation, telles que l’arbre de défaillances, le Muir Web, la modélisation hiérarchique, le Goal Tree Success Tree – Dynamic Master Logic Diagram, sont étudiées et approfondies depuis l’origine pour s’adapter aux objectifs de l’analyse de SdS. Une méthode de représentation est développée ex novo, à savoir, le graphe hiérarchique. Dans ces cadres de représentation, des états binaires et multiples sont utilisés pour modéliser les performances des SdS à analyser. La simulation Monte Carlo et l’analyse d’intervalle sont combinées pour évaluer quantitativement des modèles de SdS en présence d’incertitude (due à la variabilité naturelle d’un phénomène ou au manque d’information). La mise en oeuvre de ces approches est illustrée dans deux domaines d’application : l’évaluation du risque d’événements externes et la vulnérabilité d’infrastructures critiques. / This thesis propounds and develops a system-of-systems (SoS) framework for the risk analysis of industrial installations and critical infrastructures. System representation, modeling and simulation methods are developed to capture the peculiar features of SoS, with respect to their vulnerability and physical resilience to random failures and natural hazards. Several representation techniques of literature, i.e., Fault Tree, Muir Web, Hierarchical Modeling, Goal Tree Success Tree – Dynamic Master Logic Diagram, are explored and originally extended/tailored to fit the purpose of SoS analysis. One representation method is developed ex-novo, namely the Hierarchical Graph. Within these representation frameworks, binary and multiple states are used to model the performances of the SoS under analysis. Monte Carlo simulation and interval analysis are combined for the quantitative evaluation of the SoS models in presence of uncertainty (due to both randomness and lack of knowledge). Examples of analyses are carried out within two application areas: external event risk assessment and vulnerability of critical infrastructures.

Les risques sont inhérents à l’activité industrielle. Les prévoir et les maîtriser sont essentiels pour la conception et la conduite en sécurité des procédés. La réglementation des risques majeurs impose aux exploitants la réalisation d’études de sécurité quantitatives. La stratégie de maîtrise des risques repose sur la pertinence des analyses de risques. En marche dégradée, la dynamique des événements est déterminante pour quantifier les risques. Toutefois, de nos jours cette connaissance est difficilement accessible. Ce travail propose une méthodologie d’analyse de risques quantitative qui combine la méthode HAZOP, le retour d’expérience et la simulation dynamique de dérives de procédés. Elle repose sur quatre grandes étapes : La première étape est l’étude du fonctionnement normal du procédé. Pour cela, le procédé est décrit de façon détaillée. Des études complémentaires de caractérisation des produits et du milieu réactionnel sont menées si nécessaires. Ensuite, le procédé est simulé dynamiquement en fonctionnement normal. Lors de la seconde étape, parmi les dérives définies par l’HAZOP et le retour d’expérience, l’analyste discrimine celles dont les conséquences ne sont pas prévisibles et/ou nécessitent d’être quantifiées. La troisième phase fournit une quantification du risque sur la base de la simulation dynamique des scenarii retenus. Lors de la dernière étape, des mesures de maîtrise des risques sont définies et ajoutées au procédé lorsque le niveau de risque est supérieur au risque tolérable. Le risque résiduel est ensuite calculé jusqu’à l’atteinte de la cible sécurité. Le logiciel Aspen Plus Dynamics est sélectionné. Trois études de cas sont choisies pour démontrer d’une part, la faisabilité de la méthodologie et d’autre part, la diversité de son champ d’application : · la première étude de cas porte sur un réacteur semi-continu siège d’une réaction exothermique. L’oxydation du thiosulfate de sodium par le peroxyde d’hydrogène est choisie. Ce cas relativement simple permet d’illustrer la diversité des causes pouvant être simulées (erreur procédurale, défaut matériel, contamination de produits, …) et la possibilité d’étudier des dérives simultanées (perte de refroidissement du milieu et sous dimensionnement de la soupape de sécurité). · le deuxième cas concerne un réacteur semi-batch dans lequel une réaction exothermique de sulfonation est opérée. Elle est particulièrement difficile à mettre en œuvre car le risque d’emballement thermique est élevé. Cette étude montre l’intérêt de notre approche dans la définition des conditions opératoires pour la conduite en sécurité. · le troisième cas d’étude porte sur un procédé continu de fabrication du propylène glycol composé d’un réacteur et de deux colonnes de distillation en série. L’objectif est ici d’étudier la propagation de dérives le long du procédé. Sur la base du retour d’expérience, deux dérives au niveau du rebouilleur de la première colonne sont étudiées et illustrent les risques de pleurage et d’engorgement. La simulation dynamique illustre la propagation d’une dérive et ses conséquences sur la colonne suivante.