Nos travaux se situent au croisement de trois domaines : la sûreté de fonctionnement, l'analysefonctionnelle et l'ingénierie des modèles. Dans l'objectif d'assister les analyses préliminaires desrisques, nous avons proposé d'exploiter les modèles issus de l'analyse fonctionnelle de l'avion. Cesmodèles décrivent les dépendances entre les fonctions qui doivent être réalisées durant une phasede vol. Pour exploiter ces modèles, nous avons introduit la notion d'efficacité qui mesure ledegré de contribution d'une fonction à la réalisation nominale d'une phase de vol. Cette notionest utile pour les analyses de risques car elle permet de formaliser divers cas dedysfonctionnements des fonctions et pour évaluer le niveau de dégradation d'une phase de vol encas de dysfonctionnement d'une ou plusieurs fonctions. Nous avons proposé d'annoter les modèlesissus de l'analyse fonctionnelle avec des informations relatives à l'efficacité des fonctions et à leursdysfonctionnements possibles. En suivant les principes de la transformation de modèles, nousavons étudié les moyens de produire le plus automatiquement possible des modèles utiles auxanalyses de risques à partir des modèles annotés. Les modèles produits sont décrits avec lelangage AltaRica, ils peuvent être analysés avec les outils associés à ce langage afin d'évaluerl'effet du dysfonctionnement de fonctions de l'avion ou de rechercher les combinaisons dedysfonctionnements les plus critiques. L'approche proposée a été appliquée pour analyser lesrisques associés aux fonctions utiles lors du décollage d'un avion. / Our work links three domains: safety, functional analysis and model based engineering. In orderto assist preliminary risk analysis, we have proposed to exploit models developed for functionalanalysis. These models describe dependencies between functions that have to be performed duringa flight phase. To exploit these models, we have introduced the notion of efficiency thatmeasures the degree of contribution of a function to the nominal realisation of a flight phase.This notion is useful for risk analysis because it enables the formalisation of various cases offunction failures and the evaluation of the level of degradation of a flight phase in case offunction failures. We have proposed to annotate functional analysis models with informationrelated with function efficiency and potential function failures. Following the principles of modeltransformation, we have studied the means to produce as automatically as possible models thatcould be used to support risk analysis starting from annotated models. Produced models aredescribed with the AltaRica language, they can be analysed with the tools associated with thislanguage in order to evaluate the effect of function failures or to search for the most criticalcombinations of failures. The approach was applied in order to analyse the risks associated withthe functions used during an aircraft take-off.

Les effets dominos ou cascade d’événements dans les industries et particulièrement dans les industries chimiques et de transformation, sont reconnus comme des scénarios d’accidents possibles depuis environ trois décennies. Ils représentent une préoccupation croissante, car ils ont le potentiel de provoquer des conséquences dévastatrices. L’effet domino, comme phénomène, est un sujet controversé lorsque son évaluation est nécessaire. L’examen de la bibliographie a démontré l’absence d’une définition commune et d’une procédure simple d’utilisation et précise pour son appréciation. C’est pourquoi l’un des objectifs de cette recherche est de formaliser les connaissances relatives aux effets dominos afin de comprendre les mécanismes de leurs occurrences. Pour ce faire nous avons étudié les paramètres à examiner pour déterminer la possibilité de cascade et être en mesure d’identifier les scénarios dominos. L’enjeu étant de permettre l’amélioration de la prévention du risque d’effet domino. L’autre objectif est donc de produire une méthode pour l’identification et l’analyse des effets dominos. Nous avons développé une méthodologie globale pour l’étude des effets dominos en chaîne initiés par des pertes de confinement. Elle permet l’identification et la hiérarchisation des chemins de propagation des accidents. Cette méthode facilite la prise de décision pour la prévention des effets dominos, tout en proposant un outil efficace et simple d’utilisation. Les résultats de l’étude sont fournis sous forme d’une hiérarchisation quantitative des équipements impliqués dans les scénarios dominos, en tenant compte des effets des conditions météorologiques et des mesures de maîtrise des risques existantes ou proposées.Cette hiérarchisation donne une idée claire des dangers que représentent les équipements par rapport aux accidents en cascade, en précisant si la dangerosité de l’équipement provient de sa capacité à initier ou à propager un effet de cascade.La méthode est basée sur une description topographique de la zone étudiée, incluant les caractéristiques de chaque équipement, et prend en compte les mesures de maîtrise des risques mises en œuvre par l’industriel. Elle repose sur deux phases principales : La première, est l’identification des chemins de propagation des accidents. Pour ce faire, la méthode d’analyse par arbre d’événements est utilisée. Les cibles potentielles sont déterminées en combinant les valeurs seuils d’escalade et les modèles de vulnérabilité (pour l’estimation de la probabilité d’endommagement). Cette première phase est implémentée sous MATLAB® et Visual Basic for Applications (VBA) afin de faciliter l’entrée des données, et l’analyse des résultats dans Microsoft Excel®. La deuxième phase est l’identification des équipements les plus dangereux vis-à-vis des effets dominos. Elle consiste à hiérarchiser les équipements impliqués dans les chemins de propagation, en fonction de leur vraisemblance à causer ou à propager un effet domino. L’algorithme qui effectue cette phase est codé sous VBA. La méthode a été conçue de façon à ce qu’elle puisse être utilisée sans qu’il soit nécessaire de s’appuyer sur les résultats des études de dangers. Néanmoins, si ces résultats sont disponibles, il est alors possible d’alléger certaines étapes de la méthode. Elle s’est révélée facile à utiliser, cela a été constaté lors de son application dans le cadre de projets et stages d’étudiants. / Domino effects or cascading events in the chemical and process industries are recognized as credible accident scenarios since three decades. They are raising a growing concern, as they have the potential to cause catastrophic consequences. Domino effect, as phenomenon, is still a controversial topic when coming to its assessment. There is still a poor agreement on the definition of domino effect and its assessment procedures. A number of different definitions and approaches are proposed in technical standards and in the scientific literature. Therefore, one of this research objectives is to formalize domino effects knowledges in order to comprehend their occurrence mechanisms. Thus, the parameters that should be looked at so as to understand the escalation possibility and in order to identify domino scenarios, were analyzed. The aim is to improve domino effect hazards prevention, through the development of a methodology for the identification and the analysis of domino effects.We developed a method for the analysis of domino accident chain caused by loss of containments. It allow the identification and prioritization of accident propagation paths. The method is user-friendly and help decision making regarding the prevention of cascading events. The final outcomes of the model are given in form of quantitative rankings of equipment involved in domino scenarios, taking into account the effect of meteorological conditions and safety barriers. The rankings give a clear idea of equipment hazard for initiating or continuing cascading events.The methodology is based on a topography of the industrial area of concern, including the characteristics of each unit and accounting for protection and mitigation barriers. It is based on two main stages. The first is the identification of accident propagation paths. For this, the event tree method is used. The possible targets are identified combining the escalation thresholds and vulnerability models (to estimate damage probability). This first stage was implemented using the MATLAB® software and Visual Basic for Applications (VBA) to enable an easy input procedure and output analysis in Microsoft Excel®.The second stage is the identification of the most dangerous equipment. It consists in prioritizing equipment involved in the propagation paths according to their likelihood to cause/propagate domino effect. The algorithm that performs this phase was coded in VBA.The method was designed so as it can be used without the need to rely on the results of safety reports. However, if such results are available, it is possible to lighten some steps of the method. It revealed easy to apply, this was confirmed through projects and student internships. / Gli effetti domino, in cui un primo incidente causa in cascata altri scenari incidentali, sono tragli scenari incidentali più severi che avvengono nell’industria chimica. Nonostante l’attenzioneche anche la normativa dedica a tali scenari, la valutazione dell’effetto domino è un soggettocontroverso. L’analisi della letteratura tecnica e scientifica ha mostrato l’assenza di unadefinizione comune di « effetto domino » e di una semplice procedura per l’identificazione ditali scenari. È per tale motivo che uno degli obiettivi di questo lavoro di ricerca è diformalizzare le conoscenze relative agli effetti domino al fine di meglio comprendere imeccanismi che possono provocarli. A tal proposito sono stati studiati i parametri necessariper determinare la possibilità dell’insorgere di cascate di eventi e per essere in grado diidentificare i possibili scenari incidentali dovuti ad effetto domino. L’obiettivo finale del lavoroè stato di sviluppare un metodo per l’identificazione e l’analisi quantitativa della propagazionedi incidenti primari nell’ambito di scenari dovuti ad effetto domino.E’ stata sviluppata una metodologia generale per l’analisi degli effetti domino causati daperdite di confinamento. Tale metodologia permette l’identificazione e la classificazione deipercorsi di propagazione degli incidenti. Tale metodo facilita inoltre la prevenzione deglieffetti domino, proponendo uno strumento efficace e semplice da utilizzare.I risultati di questo studio sono forniti in forma di una classificazione delle apparecchiaturecoinvolte in scenari dovuti ad effetto domino, tenendo conto degli effetti delle condizionimeteorologiche e delle misure esistenti per la gestione del rischio. Tale classificazione fornisceanche un chiara idea dei pericoli rappresentati dalle singole apparecchiature nel caso diincidenti in cascata, in quanto precisando se la pericolosità delle attrezzature proviene dallaloro capacità di innescare o propagare un reazione a catena.Il metodo è basato su una descrizione topografica del sito studiato, che comprende anche lecaratteristiche di ogni attrezzatura, che tiene conto delle misure di gestione dei rischi e dellebarriere di sicurezza presenti, basato su due fasi principali. La prima è l’identificazione deipercorsi di propagazione degli incidenti. A tale scopo è stato utilizzato un metodo basatoVIsull’albero degli eventi. I potenziali bersagli vengono determinati combinando i valori di sogliaper la propagazione degli eventi ed i modelli di vulnerabilità delle apparecchiature. Questaprima fase è implementata in MATLAB® e Visual Basic for Applications (VBA) in modo dafacilitare la gestione dei dati e l’analisi dei risultati in Microsoft Excel®.La seconda fase è l’identificazione delle apparecchiature più pericolose per gli effetti domino.Tale fase consiste nel classificare le apparecchiature coinvolte nei percorsi di propagazione infunzione della loro capacità di causare o propagare un effetto domino. L’algoritmo dedicato inquesta fase è eseguito su VBA.I risultati ottenuti anche nell’applicazione ad un caso di studio hanno evidenziato le potenzialitàdel metodo, che rappresenta un significativo progresso nell’analisi quantitativa dell’effetto domino.

Aujourd’hui, les équipements intégrant du logiciel et connectés à Internet sont de plus en plus nombreux et variés. Avec l’arrivée de l’“Internet des objets” et la tendance au “tout connecté”, de nombreux équipements de notre quotidien bénéficient maintenant d’une connexion à Internet : les Smart-TVs, les lecteurs DVD, les systèmes d’alarmes, les systèmes domotiques, jusqu’aux équipements facilitant l’hospitalisation à domicile de patients par exemple. Ces évolutions technologiques s’accompagnent malheureusement de problèmes de sécurité. L’utilisation massive du réseau Internet a facilité la propagation de logiciels malveillants, qui peuvent aujourd’hui cibler tout type d’équipement informatique et notamment les équipements connectés. Alors qu’il existe déjà des normes permettant d’évaluer la sécurité d’équipements informatiques industriels, leur application aux équipements grand public est encore limitée. La présence et la criticité des vulnérabilités qui peuvent affecter ces équipements sont encore mal connues car elles n’ont pas fait l’objet d’études approfondies. C’est précisément l’objectif de cette thèse, qui propose une méthode permettant de mener une analyse de vulnérabilités des équipements grand public connectés à Internet. Cette méthode est constituée de deux grandes phases : une phase d’analyse des risques suivie d’unephase d’expérimentations. L’analyse de sécurité d’un équipement, quelle qu’elle soit, nécessite une bonne connaissance de l’environnement de celui-ci. Afin de guider l’évaluateur dans cette tâche, nous proposons, dans une première phase, de nous fonder sur des méthodes d’analyse des risques existantes. Ces méthodes sont aujourd’hui bien éprouvées et permettent à l’évaluateur d’obtenir une vue globale des risques encourus par l’utilisation de l’équipement étudié. Ensuite, lors de la seconde phase de l’étude, l’évaluateur se concentre sur les risques les plus importants afin de montrer la faisabilité technique des scénarios menant aux risques considérés, à l’aide d’expérimentations. Étant donné le grand nombre et la diversité des connexions présentes sur les équipements connectés, il est important de mettre l’accent sur les scénarios d’attaque qui peuvent s’avérer riches, même si ces scénarios ont pour origine une vulnérabilité locale simple. Pour cette seconde phase, une méthode d’expérimentation est donc proposée pour étudier ces scénarios d’attaque, qui, de plus, ciblent des équipementsdont les spécifications ne sont pas forcément disponibles. Afin d’illustrer la méthode globale, cette thèse se fonde sur deux cas d’étude : les box ADSL et les téléviseurs connectés. Ces études ont été menées sur un panel d’équipements provenant des principaux fournisseurs d’accès à Internet et des principaux fabricants de téléviseurs, ce qui nous a permis de comparer les différents équipements présents sur le marché. Les vulnérabilités mises en évidence concernent en particulier les liens de communication (boucle locale pour les Box ADSL, interface DVB-T pour les Smarts TVs) reliant les équipements à leurs fournisseurs de service (FAI pour les Box ADSL, TV et VoD pour les Smart TVs). Ces liens de communication sont habituellement considérés de confiance et ne sont à notre connaissance pas ou peu étudiés jusqu’à présent. Cette thèse contribue ainsi à l’analyse de sécurité sur ces liens particuliers des équipements connectés et met en lumière des chemins d’attaque originaux.Enfin, cette thèse se termine par la présentation des différents mécanismes de protection existants afin d’empêcher l’introduction ou l’exploitation des failles de sécurité identifiées. / Today, equipment embedding software and an Internet connection are more and more numerous and various. With the emergence of “the internet of things” and the trend to interconnect everything, many equipment used in our every day life are now connected to the internet: Smart-Tvs, DVD players, alarm and home automation systems, and even health assistance home devices, for example. Unfortunately, these technological evolutions also introduce new security threats. The massive use of internet facilitates the propagation of malware, capable of targeting any computer device, and more specifically any internet connected device. Although several methods allowing security analysis of industrial systems exist, their application to home devices is still limited. The existence and the criticality of potential vulnerabilities in these devices are not well-known, because they have not been thoroughly studied. This is precisely the objective of this thesis, which presents a method allowing to carry out a vulnerability analysis of internet connected home devices. This method is composed of two main phases: a risk analysis phasefollowed by an experimental phase. The security analysis of any type of equipement, requires a good knowledge ofits environment. In order to guide the evaluator in this task, we propose, as a first step, to rely on existing risk analysis methods. These methods are now mature, and allow the evaluator to obtain a global view of the risks incurred by the usage of anequipment. Then, during the second step of our method, the evaluator concentrates on the most important risks in order to demonstrate the technical feasibility of the scenarios leading to the considered risks, by carrying out several experiments.Considering the large amount and the diversity of I/Os on connected devices, it is important to focus on specifically rich attack scenarios, possibly depending on a simple local vulnerability. For this second step, an experimental method is proposedin order to study these attack scenarios, which, moreover, target equipement whose specifications are not necessarily available.In order to illustrate the entire method, this thesis presents two case studies: Integrated Access Devices and Smart-Tvs. These studies are carried out on a panel of devices from major internet service providers and TV manufacturers, allowing us to compare several devices available on the market. The vulnerabilities pointed out, mainly concern the communication means (local loop for the IAD, DVB-T interface for the smart-TVs) connecting these devices to their service providers (ISP for the IAD, TV and VoD for the smart-TVs). These communication links are usually considered safe, and have been, to our knowledge, seldom explored. Thisthesis thereby contributes to the security analysis of these particular communication means for connected devices and points out some original attack paths. Finally, this thesis ends by presenting different existing security mechanisms that can be used to avoid exploitation of the identified weaknesses

Objectif : La néphrectomie partielle est reconnue actuellement comme le traitement de choix des tumeurs de moins de 7 cm. Le but de notre étude est de comparer le taux de mortalité lié au cancer du rein suite au traitement par néphrectomie partielle ou radicale chez les patients de stade T1b, de présenter la tendance temporelle du taux d'intervention par néphrectomie partielle pour les tumeurs de stade T1b et d’identifier les facteurs sociodémographiques et tumoraux qui influencent le choix thérapeutique entre les deux types de traitement chirurgical. Méthode : Il s’agit d’une étude épidémiologique de type rétrospective. La population de patients provient de la base de donnée SEER (Surveillance, Epidemiology, and End Results) qui regroupe une grande proportion de la population nord-américaine. Dans notre étude, nous avons utilisé l’analyse par régression logistique pour identifier les facteurs sociodémographiques associés à l'intervention par néphrectomie partielle. Dans un deuxième temps, nous avons comparé la mortalité liée au cancer entre les deux options chirurgicales, après association par score de tendance pour diminuer les différences de base entre les deux populations. Nos critères étaient l’âge, la race, le sexe, l’état civil, le niveau socioéconomique, la taille tumorale, le grade nucléaire, l’histologie et la localité du centre hospitalier. L’analyse des données a été faite par le logiciel SPSS. Résultats : Le taux d'interventions par néphrectomie partielle a augmenté de 1,2% en 1988 à 15,9% en 2008 (p <0,001). Les jeunes patients, les tumeurs de petite taille, les patients de race noire, ainsi que les hommes sont plus susceptibles d'être traités par néphrectomie partielle (tous les p < 0,002). Parmi le groupe ciblé, le taux de mortalité lié au cancer à 5 ans et à 10 ans est de 4,4 et de 6,1% pour les néphrectomies partielles et de 6,0 et 10,4% pour les néphrectomies radicales (p = 0,03). Après ajustement de toutes les autres variables, les analyses de régression montrent que le choix entre les deux types de néphrectomie n’est pas associé à la mortalité lié au cancer (hazard ratio: 0,89, p = 0,5). Conclusion : Malgré un contrôle oncologique équivalent, le taux d'intervention par néphrectomie partielle chez les patients ayant un cancer du rein T1b est faible en comparaison à la néphrectomie radicale. / Objectives: To examine utilization rates of partial nephrectomy relative to radical nephrectomy for T1b renal cell carcinoma in contemporary years, to identify sociodemographic and disease characteristics associated with partial nephrectomy use, and to compare effectiveness of partial vs. radical nephrectomy with respect to cancer control outcomes. Materials and Methods: Using the Surveillance, Epidemiology, and End results database, 16,333 patients treated with partial or radical nephrectomy for T1bN0M0 renal cell carcinoma between 1988 and 2008 were identified. Logistic regression models were performed to identify determinants of partial nephrectomy. Subsequently, cumulative incidence rates of cancer-specific and other-cause mortality between partial and radical nephrectomy were assessed, within the matched cohort. Finally, we relied on competing-risks regression analyses for prediction of cancer-specific mortality, after adjusting for other-cause mortality, and vice-versa. Results: The utilization rate of partial nephrectomy increased from 1.2% in 1988 to 15.9% in 2008 (P<0.001). Younger individuals, smaller tumors, persons of black race, as well as men were more likely to be treated with partial nephrectomy in the current cohort (all P≤0.002). In the post-propensity cohort, the 5- and 10-year cancer-specific mortality rates were 4.4 and 6.1% for partial vs. 6.0 and 10.4% for radical nephrectomy, respectively (P=0.03). Following adjustment for other covariates, competing-risks regression analyses showed that nephrectomy type was not statistically significantly associated with cancer-specific mortality, even after adjusting for other-cause mortality (hazard ratio: 0.89, P=0.5). Conclusions: Despite a comparable cancer control outcome, consideration of partial over radical nephrectomy in T1b renal cell carcinoma individuals remains conservative in recent years.

La maîtrise des risques d'incendie et d'explosion dans les procédés industriels repose sur une évaluation des conditions d'occurrence et des conséquences prévisibles de ces évènements. L'étude du retour d'expérience relatif aux accidents industriels impliquant des produits combustibles met souvent en évidence la méconnaissance des dangers des produits par les opérateurs et/ou une évaluation insuffisante ou incomplète des risques générés par le procédé exploité. Les évolutions réglementaires intervenues ces dix dernières années ont pour objectif de mieux identifier et gérer ces risques. Pour autant, afin de réduire la fréquence et la gravité de ces accidents, il est nécessaire d'améliorer encore la sécurité des procédés qui mettent en oeuvre des produits combustibles. C'est lorsque cette évaluation est la plus juste et réaliste que les mesures de prévention et de protection sont adaptées. Ceci nécessite avant tout de caractériser les dangers présentés par les produits stockés, transportés ou utilisés. Il est ensuite nécessaire de mieux identifier et gérer les risques induits. Les travaux effectués ont été consacrés en premier lieu à la caractérisation réglementaire des dangers physico-chimiques des substances et des mélanges, ainsi qu'à l'évaluation de l'aptitude des produits inflammables sous forme de gaz, de vapeur ou de poussière à générer des atmosphères explosives et à être enflammés. En second lieu, ces travaux se sont attachés à mettre en évidence les éléments essentiels du contexte réglementaire, normatif et méthodologique sur les thèmes des atmosphères explosives et de l'évaluation des risques associés et à développer une méthode d'étude du risque associé à la formation d'atmosphères explosives dans les installations industrielles compatible avec les exigences réglementaires applicables / Controlling fire and explosion hazards in industrial processes is based on occurrence conditions and the assessment of possible effects and consequences of these events. The feedback from industrial accidents involving combustible products often reveals an insufficient identification of products hazards and/or an incorrect or incomplete risk assessment of the processes by the operators. The regulatory evolutions in the past decade were aimed at better identification and management of these risks. Nevertheless, in order to reduce the frequency and the severity of these accidents, it is necessary to further improve the safety procedures concerning combustible materials. When this evaluation is the most accurate and realistic, prevention and protection measures are the most adequate. This requires an accurate hazard characterization of the products stored, transported or used. It is also necessary to better identify and manage the risks associated. This work has been devoted primarily to the regulatory characterization of physical and chemical hazards of substances and mixtures, as well as evaluating the ability of flammable gas, vapour or dust to form explosive atmospheres and an eventual ignition. Secondly, this work have attempted to highlight the key elements of the regulatory, normative and methodological context concerning explosive atmospheres and to develop a specific methodology allowing explosive atmospheres explosion risk assessment in industrial facilities, consistent with applicable regulatory requirements

Avec le développement des mesures de pluie à hautes résolutions spatiales et temporelles , l’utilisation de modèles hydrométéorologiques distribués est désormais envisagée pour anticiper les phénomènes de crue soudaine sur les petits bassins versants non jaugés. Toutefois les approches développées jusqu’ici se sont généralement concentrées sur l’évaluation des phénomènes hydrologiques, laissant de côté la question de leurs impacts, qui dépendent fortement de la configuration du terrain et des enjeux qui y sont présents. Ce travail de thèse a permis de développer et tester une méthode d’évaluation directe de ces impacts à partir des sorties d’un modèle pluie-débit sur un territoire limité. La démarche mise en oeuvre repose sur un travail préalable d’analyse du territoire permettant d’une part d’évaluer les emprises submergées dans une large gamme de débits par une approche hydraulique simplifiée, puis de construire des relations univoques débit-enjeux pour chaque bief de cours d’eau. Ces relations permettent de produire des cartes d‘enjeux potentiellement touchés ,pouvant être actualisées régulièrement en cours d’événement. Deux études des cas ont permis de réaliser une première évaluation des performances de cette approche, du point de vue de la qualité d’estimation des emprises inondées, et du point de vue des impacts estimés à l’échelle d’un événement grâce à la comparaison avec des données d’assurance. Finalement, ces travaux ont permis de confirmer le potentiel de la méthode, dont les performances semblent en adéquation avec l’objectif visé : obtenir rapidement une première hiérarchisation des impacts occasionnés par les crues soudaines à l’échelle d’un grand territoire. / With the development of rainfall measurements at highspatial and temporal resolutions, the use of distributed hydrometeorological models is now considered to forecast flash floods on small and ungauged catchment areas. Current flashflood monitoring systems generally enable a real-time assessment of the potential flash-flood magnitudes. However they do not assess the potential impacts of flash-flood, which highly depends on the catchment areas configuration and on the importance of potentially affected assets. The purpose of this PhD research work was to develop and test a method which can be used to directly estimate the impacts of flash-floods, based on the outputs of a distributed rainfall-run off model. The approach is based on a prior analysis of the study area in order to assess the potential impact of different discharge levels on the flooded areas and to identify from geography database the associated buildings at risk. The aim is to build impact models on specific river reaches, using discharge versus impact graphs. The use of these impact models combined with a rainfall-run off model, has enabled us to compute maps of potential impacts, based on real time assessment of flood events updated every 15 minutes. This method was evaluated on two case studies looking at the accuracy and relevance of estimated impacts for each event – and comparing the outcomes to insurance losses data. This research work has helped to confirm the efficiency of this new combined method, which may become a useful tool to forecast large-scale effects of local impacts of flash-floods.

En vue d’éviter ou de diminuer l’importance des dégâts causés par les accidents majeurs, il convient de modéliser les fonctions et les relations entre les composants d’un système industriel. Pour cela, dans cette thèse, on utilise la démarche de modélisation par la méthode STAMP (Systems-Theoretic Accident Model and Processes) pour représenter la structure hiéarchique du système, ainsi que les mécanismes de contrôle nécessaire pour préserver la sécurité d’un processus industriel. Afin de traiter les problématiques liées aux contrôles de la sécurité industrielle, on propose l’utilisation de l’outil de simulation Anylogic. Cet outil, permet modéliser et de simuler le comportement du système en fonction du temps en mode normal et en mode dégradé.L’objectif de ces travaux est donc de proposer une démarche basée à la fois sur la modélisation et la simulation pour analyser les risques et prévenir les accidents d’un site de stockage et distribution de GPL (Gaz Pétrole liquéfié). / System thinking concepts and simulation tools are used to model the risk prevention plan and operational modes designed to enforce safety constraints at a French liquefied petroleum gas (LPG) storage and distribution facility. In France, such facilities are classified and the subject of special legislation and safety regulations. Their supervision is the responsibility of a control and regulatory body. A technological risk and prevention plan is provided, where all the dangerous phenomena likely to occur in addition to the safety control measures are listed in the safety report. Safety is therefore addressed through rules, and control mechanisms ensure that the system complies with safety constraints. Taking this facility as a case study, we use the STAMP theoretical framework together with AnyLogic simulation software to model technical elements and human and organizational behavior. We simulate how the system evolves over time and the strategies that are deployed in a loss of control scenario. The aim is to assess whether the prescribed safety program covers all of the system's phases; namely operations and audits. The results enrich other research that focuses on the contribution of system dynamics to risk analysis and accident prevention.

Les travaux de recherche exposés dans ce mémoire sont relatifs à l'élaboration d'une méthode d'intégration de la santé-sécurité à la conception des produits. L'intégration de la santé sécurité dans la conception est aujourd'hui considérée comme un processus séquentiel. Ce type d'approche ne permet pas d'atteindre les résultats escomptés en termes d'amélioration de la sécurité. La méthode proposée consiste à prendre en compte celle-ci dès les premières phases de conceptualisation du produit. Nous avons proposé trois principes fondamentaux régissant la conception sécuritaire. Elle est basée sur les méthodes de conception systématique et axiomatique et permet trois cas d'emploi. Nous proposons ainsi, un processus du risque évoluant simultanément avec un processus de conception. Ce processus des risques est constitué de six contextes, exprimant chacun un nouveau point de vue des risques. Cette méthode, baptisée IRAD permet au concepteur d'exprimer les exigences de sécurité d'une part, à partir de l'analyse structurée du retour d'expérience (cas d'emploi 1) et d'autre part, à partir de l'analyse systématique des risques liés aux choix technologiques effectués au cours de la conception (cas d'emploi 2). Suite à cette démarche, le cahier des charges du produit s'avère évolutif et dépendant du développement du produit. La conception de produits sécuritaires s'effectue alors à travers l'intégration des exigences de sécurité dans la synthèse des solutions (cas d'emploi 3). Les exigences de sécurité découlant de la mise en oeuvre de la méthode se présentent sous forme d'équations d'optimisation. L'applicabilité de la méthode IRAD a été enfin démontrée sur le cas des liaisons tracteur-outils.

Cette thèse propose de combiner deux types de connaissances : la connaissance du comportement d'un système (utilisée pour l'analyse diagnostique) et la connaissance issue de l'analyse AMDEC (Analyse des Modes de Défaillance, de leurs Effets et leurs Criticités) du système. Pour que ces connaissances puissent être supplémentaires, un formalisme commun à ces deux connaissances est proposé. Dans la suite, les résultats de l ?analyse AMDEC, en tant que connaissance experte supplémentaire au modèle comportemental, sont intégrés lors de l'analyse diagnostique pour affiner cette analyse diagnostique. D'un autre côté, une méthode de pronostic de défaillances/défauts est proposée en intégrant les résultats de l'analyse diagnostique aux résultats de l'analyse AMDEC. Cette thèse se conclut par une application des méthodes proposées sur un procédé exothermique industriel.

Un évènement Natech est un accident TECHnologique provoqué par l'impact d'un aléa NAturel sur une installation industrielle. Cet accident peut porter atteinte à l'extérieur de l'emprise du site, aux personnes, aux biens ou à l'environnement. L'objectif de ce travail est de mettre au point une méthodologie pour l'analyse et la prévention du risque d'accidents technologiques induits par l'inondation (Natech inondation) d'un site industriel. La méthodologie repose, dans un premier temps, sur une étude des Retours d'Expériences. Il a été identifié que les accidents Natech sont imputables à un rejet de matières dangereuses sur des équipements dits critiques endommagés directement ou indirectement par les eaux d'inondation. Les rejets de matières dangereuses vont amener à trois types d'accidents (incendie, pollution, explosion). Dans un deuxième temps, la méthode MADS-MOSAR a été adaptée à l'application aux accidents Natech inondation. L'analyse a abouti à cinq scénarios génériques d'accident Natech inondation sous forme de cinq nœuds papillons. Une soixantaine de Mesures de Maîtrise de Risque de prévention et de protection ont été identifiées. La validation de la complétude et de la plausibilité des nœuds papillons génériques est effectuée, d'une part, à l'échelle du secteur d'activité de traitement de surface et, d'autre part, à l'échelle spécifique d'établissements industriels. Ce travail a abouti à un outil de diagnostic de la vulnérabilité d'une installation industrielle aux accidents Natech inondation, accompagné d'un catalogue de MMR. Enfin, ce diagnostic a été appliqué sur un site industriel afin d'évaluer son mode opératoire et de l'enrichir par l'expérimentation.