Cet article traite des risques "machines", ceux qui sont spécifiques aux équipements et matériels utilisés dans les processus industriels associés aux appareils sous pression, aux équipements de traitement, aux machines puissantes et autres opérations intrinsèquement risquées. Cet article ne traite pas des risques pour les travailleurs, qui impliquent les actions et le comportement des individus, tels que les glissades sur les surfaces de travail, les chutes d'élévations et les risques liés à l'utilisation d'outils ordinaires. Cet article porte sur les risques liés aux machines, caractéristiques d'un environnement de travail industriel. Ces dangers menaçant toutes les personnes présentes et pouvant même constituer une menace pour le voisinage et l'environnement extérieur, les méthodes d'analyse et les moyens de prévention et de contrôle sont similaires aux méthodes utilisées pour faire face aux risques pour l'environnement liés aux activités industrielles.

Risques liés aux machines

Un matériel de bonne qualité est très fiable et la plupart des pannes sont causées par des effets secondaires comme le feu, la corrosion, une mauvaise utilisation, etc. Néanmoins, le matériel peut être mis en évidence dans certains accidents, car un composant matériel défaillant est souvent le maillon le plus visible ou le plus visible de la chaîne d'événements. Bien que le terme matériel est utilisé au sens large, des exemples illustratifs de défaillances matérielles et de leur « environnement » immédiat dans la cause des accidents ont été tirés de lieux de travail industriels. Les candidats typiques pour l'investigation des dangers de la "machine" incluent, mais sans s'y limiter, les éléments suivants :

• récipients sous pression et tuyaux

• moteurs, moteurs, turbines et autres machines tournantes

• réacteurs chimiques et nucléaires

• échafaudages, ponts, etc.

• lasers et autres radiateurs d'énergie

• machines de coupe et de forage, etc.

• poste à souder.

Effets de l'énergie

Les risques matériels peuvent inclure une mauvaise utilisation, des erreurs de construction ou une surcharge fréquente, et par conséquent leur analyse et leur atténuation ou leur prévention peuvent suivre des directions assez différentes. Cependant, les formes d'énergie physiques et chimiques qui échappent au contrôle humain existent souvent au cœur des risques matériels. Par conséquent, une méthode très générale pour identifier les risques matériels consiste à rechercher les énergies qui sont normalement contrôlées avec l'équipement ou la machine, comme un récipient sous pression contenant de l'ammoniac ou du chlore. D'autres méthodes utilisent l'objectif ou la fonction prévue du matériel réel comme point de départ, puis recherchent les effets probables des dysfonctionnements et des pannes. Par exemple, un pont ne remplissant pas sa fonction première exposera les sujets se trouvant sur le pont au risque de tomber ; les autres effets de l'effondrement d'un pont seront les effets secondaires de la chute d'éléments, soit des parties structurelles du pont, soit des objets situés sur le pont. Plus loin dans la chaîne des conséquences, il peut y avoir des effets dérivés liés aux fonctions dans d'autres parties du système qui dépendaient du bon fonctionnement du pont, comme l'interruption de la circulation des véhicules d'intervention d'urgence à un autre incident.

Outre les concepts d'"énergie contrôlée" et de "fonction prévue", les substances dangereuses doivent être abordées en posant des questions telles que : "Comment l'agent X pourrait-il être libéré des navires, des réservoirs ou des systèmes de canalisations et comment l'agent Y pourrait-il être produit ?" (l'un ou l'autre ou les deux peuvent être dangereux). L'agent X peut être un gaz sous pression ou un solvant, et l'agent Y peut être une dioxine extrêmement toxique dont la formation est favorisée par les "bonnes" températures de certains processus chimiques, ou il peut être produit par une oxydation rapide, à la suite d'un incendie. . Cependant, les dangers possibles représentent bien plus que les risques liés aux substances dangereuses. Des conditions ou des influences peuvent exister qui permettent à la présence d'un élément matériel particulier d'avoir des conséquences néfastes pour l'homme.

Environnement de travail industriel

Les risques liés aux machines impliquent également des facteurs de charge ou de stress qui peuvent être dangereux à long terme, tels que :

• températures de travail extrêmes

• intensités élevées de lumière, de bruit ou d'autres stimuli

• qualité de l'air inférieure

• exigences ou charges de travail extrêmes.

Ces dangers peuvent être reconnus et des précautions prises parce que les conditions dangereuses sont déjà là. Ils ne dépendent pas d'un changement structurel dans le matériel pour se produire et produire un résultat nuisible, ou d'un événement spécial pour causer des dommages ou des blessures. Les dangers à long terme ont également des sources spécifiques dans l'environnement de travail, mais ils doivent être identifiés et évalués en observant les travailleurs et les emplois, au lieu de simplement analyser la construction et les fonctions du matériel.

Matériel dangereux ou risques liés aux machines sont généralement exceptionnels et plutôt rares dans un environnement de travail sain, mais ne peuvent être complètement évités. Plusieurs types d'énergie non contrôlée, tels que les agents de risque suivants, peut être la conséquence immédiate d'un dysfonctionnement matériel :

• rejets nocifs de gaz, liquides, poussières ou autres substances dangereuses

• incendie et explosion

• hautes tensions

• chutes d'objets, missiles, etc.

• champs électriques et magnétiques

• coupe, piégeage, etc.

• déplacement d'oxygène

• rayonnement nucléaire, rayons X et lumière laser

• inondation ou noyade

• jets de liquide chaud ou de vapeur.

Agents de risque

Objets en mouvement. Les chutes et les vols d'objets, les écoulements de liquide et les jets de liquide ou de vapeur, tels que répertoriés, sont souvent les premières conséquences externes d'une défaillance matérielle ou d'équipement, et ils représentent une grande partie des accidents.

Substances chimiques. Les risques chimiques contribuent également aux accidents du travail et affectent l'environnement et le public. Les accidents de Seveso et de Bhopal ont entraîné des rejets de produits chimiques qui ont touché de nombreux membres du public, et de nombreux incendies et explosions industriels libèrent des produits chimiques et des fumées dans l'atmosphère. Les accidents de la circulation impliquant des camions de livraison d'essence ou de produits chimiques ou d'autres transports de marchandises dangereuses associent deux agents de risque - les objets en mouvement et les substances chimiques.

L'énergie électromagnétique. Les champs électriques et magnétiques, les rayons X et les rayons gamma sont tous des manifestations de l'électromagnétisme, mais sont souvent traités séparément car ils se produisent dans des circonstances assez différentes. Cependant, les dangers de l'électromagnétisme présentent certains traits généraux : les champs et les rayonnements pénètrent dans le corps humain au lieu de simplement entrer en contact avec la zone d'application, et ils ne peuvent pas être détectés directement, bien que de très grandes intensités provoquent un échauffement des parties du corps affectées. Les champs magnétiques sont créés par la circulation du courant électrique et des champs magnétiques intenses se trouvent à proximité de gros moteurs électriques, d'équipements de soudage à l'arc électrique, d'appareils d'électrolyse, de métallurgie, etc. Les champs électriques accompagnent la tension électrique, et même les tensions de secteur ordinaires de 200 à 300 volts provoquent l'accumulation de saleté pendant plusieurs années, signe visible de l'existence du champ, effet également connu en relation avec les lignes électriques à haute tension, les tubes image TV , écrans d'ordinateur et ainsi de suite.

Les champs électromagnétiques se trouvent généralement assez près de leurs sources, mais les champs électromagnétiques radiation est un voyageur au long cours, comme en témoignent les radars et les ondes radio. Le rayonnement électromagnétique est diffusé, réfléchi et amorti lorsqu'il traverse l'espace et rencontre des objets intermédiaires, des surfaces, différentes substances et atmosphères, etc. son intensité est donc réduite de plusieurs manières.

Le caractère général des sources de danger électromagnétique (EM) est :

• Des instruments sont nécessaires pour détecter la présence de champs EM ou de rayonnement EM.

• EM ne laisse pas de traces primaires sous forme de « contamination ».

• Les effets dangereux sont généralement retardés ou à long terme, mais des brûlures immédiates sont causées dans les cas graves.

• Les rayons X et les rayons gamma sont atténués, mais pas arrêtés, par le plomb et d'autres éléments lourds.

• Les champs magnétiques et les rayons X sont arrêtés immédiatement lorsque la source est mise hors tension ou que l'équipement est éteint.

• Les champs électriques peuvent survivre pendant de longues périodes après l'arrêt des systèmes de production.

• Les rayons gamma proviennent de processus nucléaires et ces sources de rayonnement ne peuvent pas être désactivées comme le peuvent de nombreuses sources électromagnétiques.

Radiation nucléaire. Les risques associés aux rayonnements nucléaires préoccupent particulièrement les travailleurs des centrales nucléaires et des usines travaillant avec des matières nucléaires telles que la fabrication de combustible et le retraitement, le transport et le stockage de matières radioactives. Les sources de rayonnement nucléaire sont également utilisées en médecine et par certaines industries pour la mesure et le contrôle. L'une des utilisations les plus courantes concerne les alarmes incendie/détecteurs de fumée, qui utilisent un émetteur de particules alpha comme l'américium pour surveiller l'atmosphère.

Les risques nucléaires sont principalement centrés sur cinq facteurs :

• rayons gamma

• les neutrons

• particules bêta (électrons)

• particules alpha (noyaux d'hélium)

• contamination.

Les dangers proviennent de la radioactif processus de fission nucléaire et de désintégration de matières radioactives. Ce type de rayonnement est émis par les processus du réacteur, le combustible du réacteur, les matériaux du modérateur du réacteur, les produits de fission gazeux qui peuvent être développés et certains matériaux de construction qui deviennent activés par l'exposition aux émissions radioactives résultant du fonctionnement du réacteur.

Autres agents de risque. Les autres classes d'agents de risque qui libèrent ou émettent de l'énergie comprennent :

• Rayonnement UV et lumière laser

• infrason

• son à haute intensité

• vibration.

Déclenchement des aléas matériels

Les deux soudain et graduel le passage d'un état contrôlé - ou « sûr » à un état présentant un danger accru peut se produire dans les circonstances suivantes, qui peuvent être contrôlées par des moyens organisationnels appropriés tels que l'expérience de l'utilisateur, l'éducation, les compétences, la surveillance et les tests d'équipement :

• usure et surcharge

• impact externe (incendie ou choc)

• vieillissement et échec

• mauvais approvisionnement (énergie, matières premières)

• entretien et réparation insuffisants

• erreur de commande ou de processus

• mauvaise utilisation ou mauvaise application

• panne matérielle

• dysfonctionnement de la barrière.

Étant donné que des opérations appropriées ne peuvent pas compenser de manière fiable une conception et une installation incorrectes, il est important de considérer l'ensemble du processus, de la sélection et de la conception à l'installation, l'utilisation, la maintenance et les tests, afin d'évaluer l'état et les conditions réels de l'élément matériel.

Cas de danger : le réservoir de gaz sous pression

Le gaz peut être contenu dans des récipients appropriés pour le stockage ou le transport, comme les bouteilles de gaz et d'oxygène utilisées par les soudeurs. Souvent, le gaz est manipulé à haute pression, ce qui permet une forte augmentation de la capacité de stockage, mais avec un risque d'accident plus élevé. Le phénomène accidentel clé dans le stockage de gaz sous pression est la création brutale d'un trou dans le réservoir, avec ces résultats :

• la fonction de confinement du réservoir cesse

• le gaz confiné obtient un accès immédiat à l'atmosphère environnante.

Le développement d'un tel accident dépend de ces facteurs:

• le type et la quantité de gaz dans le réservoir

• la situation du trou par rapport au contenu de la cuve

• la taille initiale et le taux de croissance ultérieur du trou

• la température et la pression du gaz et de l'équipement

• les conditions de l'environnement immédiat (sources d'inflammation, personnes, etc.).

Le contenu du réservoir peut être libéré presque immédiatement ou sur une période de temps, et entraîner différents scénarios, de l'éclatement de gaz libre d'un réservoir rompu à des rejets modérés et plutôt lents à partir de petites perforations.

Le comportement de divers gaz en cas de fuite

Lors du développement de modèles de calcul des rejets, il est très important de déterminer les conditions suivantes affectant le comportement potentiel du système :

• la phase gazeuse derrière le trou (gazeuse ou liquide ?)

• conditions de température et de vent

• l'éventuelle entrée d'autres substances dans le système ou leur éventuelle présence dans son environnement

• barrières et autres obstacles.

Les calculs exacts relatifs à un processus de libération où le gaz liquéfié s'échappe d'un trou sous forme de jet puis s'évapore (ou alternativement, devient d'abord un brouillard de gouttelettes) sont difficiles. La spécification de la dispersion ultérieure des nuages ​​résultants est également un problème difficile. Il faut tenir compte des mouvements et de la dispersion des rejets de gaz, si le gaz forme des nuages ​​visibles ou invisibles et si le gaz monte ou reste au niveau du sol.

Alors que l'hydrogène est un gaz léger par rapport à n'importe quelle atmosphère, le gaz ammoniac (NH₃, avec un poids moléculaire de 17.0) s'élèvera dans une atmosphère ordinaire d'oxygène et d'azote, semblable à l'air, à la même température et à la même pression. Chlore (Cl₂, avec un poids moléculaire de 70.9) et le butane (C₄H₁₀, mol. wt.58) sont des exemples de produits chimiques dont les phases gazeuses sont plus denses que l'air, même à température ambiante. Acétylène (C₂H₂, mol. poids 26.0) a une densité d'environ 0.90 g/l, se rapprochant de celle de l'air (1.0 g/l), ce qui signifie que dans un environnement de travail, le gaz de soudage qui fuit n'aura pas une tendance prononcée à flotter vers le haut ou à couler vers le bas ; il peut donc se mélanger facilement à l'atmosphère.

Mais l'ammoniac libéré d'un récipient sous pression sous forme liquide va d'abord se refroidir du fait de son évaporation, et peut ensuite s'échapper en plusieurs étapes :

• L'ammoniac liquide sous pression émane du trou dans le réservoir sous forme de jet ou de nuage.

• Des mers d'ammoniac liquide peuvent se former sur les surfaces les plus proches.

• L'ammoniac s'évapore, se refroidissant ainsi lui-même et l'environnement proche.

• Le gaz ammoniac échange progressivement de la chaleur avec l'environnement et s'équilibre avec les températures ambiantes.

Même un nuage de gaz léger peut ne pas s'élever immédiatement à partir d'un dégagement de gaz liquide ; il peut d'abord former un brouillard - un nuage de gouttelettes - et rester près du sol. Le mouvement du nuage de gaz et son mélange/dilution progressif avec l'atmosphère environnante dépendent des paramètres météorologiques et du milieu environnant : zone fermée, zone ouverte, habitations, circulation, présence du public, des travailleurs, etc.

Échec du réservoir

Les conséquences d'une panne de réservoir peuvent entraîner un incendie et une explosion, une asphyxie, un empoisonnement et un étouffement, comme le montre l'expérience avec les systèmes de production et de traitement de gaz (propane, méthane, azote, hydrogène, etc.), avec les réservoirs d'ammoniac ou de chlore et avec le soudage au gaz ( utilisant de l'acétylène et de l'oxygène). Ce qui déclenche réellement la formation d'un trou dans un réservoir a une forte influence sur le « comportement » du trou - qui à son tour influence la sortie de gaz - et est crucial pour l'efficacité des efforts de prévention. Un récipient sous pression est conçu et construit pour résister à certaines conditions d'utilisation et à l'impact environnemental, et pour manipuler un certain gaz, ou peut-être un choix de gaz. Les capacités réelles d'un réservoir dépendent de sa forme, de ses matériaux, de ses soudures, de sa protection, de son utilisation et de son climat ; par conséquent, l'évaluation de son adéquation en tant que conteneur pour gaz dangereux doit tenir compte des spécifications du concepteur, de l'historique du réservoir, des inspections et des tests. Les zones critiques comprennent les cordons de soudure utilisés sur la plupart des récipients sous pression ; les points où les accessoires tels que les entrées, les sorties, les supports et les instruments sont connectés au navire ; les fonds plats des réservoirs cylindriques comme les réservoirs de chemin de fer ; et d'autres aspects de formes géométriques encore moins optimales.

Les cordons de soudure sont examinés visuellement, par rayons X ou par test destructif d'échantillons, car ceux-ci peuvent révéler des défauts locaux, par exemple, sous la forme d'une résistance réduite qui pourrait mettre en danger la résistance globale du navire, ou même être un point de déclenchement pour réservoir aigu échec.

La résistance du réservoir est affectée par l'historique d'utilisation du réservoir - tout d'abord par les processus d'usure normaux et les attaques de rayures et de corrosion typiques de l'industrie particulière et de l'application. D'autres paramètres historiques d'intérêt particulier comprennent :

• surpression occasionnelle

• chauffage ou refroidissement extrême (interne ou externe)

• impacts mécaniques

• vibration et stress

• substances qui ont été stockées ou qui ont traversé la citerne

• substances utilisées lors du nettoyage, de l'entretien et de la réparation.

Le matériau de construction - tôle d'acier, tôle d'aluminium, béton pour les applications non pressurisées, etc. - peut subir une détérioration sous l'effet de ces influences qu'il n'est pas toujours possible de vérifier sans surcharger ou détruire l'équipement pendant les essais.

Cas d'accident : Flixborough

L'explosion d'un grand nuage de cyclohexane à Flixborough (Royaume-Uni) en 1974, qui a tué 28 personnes et causé d'importants dégâts aux plantes, est un cas très instructif. L'événement déclencheur est la rupture d'une canalisation temporaire servant de substitut dans un bloc réacteur. L'accident a été "causé" par la panne d'une pièce de quincaillerie, mais une enquête plus approfondie a révélé que la panne résultait d'une surcharge et que la construction temporaire était en fait inadéquate pour l'usage auquel elle était destinée. Après deux mois de service, la conduite a été exposée à des efforts de flexion dus à une légère montée en pression de 10 bars (10⁶ Pa) teneur en cyclohexane à environ 150°C. Les deux soufflets entre la conduite et les réacteurs voisins se sont rompus et 30 à 50 tonnes de cyclohexane ont été libérées et bientôt enflammées, probablement par un four à une certaine distance de la fuite. (Voir figure 1.) Un compte rendu très lisible du cas se trouve dans Kletz (1988).

Figure 1. Connexion temporaire entre les réservoirs à Flixborough

Analyse des dangers

Les méthodes qui ont été développées pour trouver les risques qui peuvent être pertinents pour un équipement, un procédé chimique ou une certaine opération sont appelées « analyse des dangers ». Ces méthodes posent des questions telles que : « Qu'est-ce qui peut mal tourner ? » "Est-ce que ça pourrait être grave ?" et "Que peut-on faire à ce sujet?" Différentes méthodes d'exécution des analyses sont souvent combinées pour obtenir une couverture raisonnable, mais aucune de ces méthodes ne peut faire plus que guider ou assister une équipe d'analystes avisés dans leurs déterminations. Les principales difficultés de l'analyse des dangers sont les suivantes :

• disponibilité des données pertinentes

• limites des modèles et des calculs

• matériaux, constructions et processus nouveaux et inconnus

• complexité du système

• les limites de l'imagination humaine

• limitations des tests pratiques.

Pour produire des évaluations de risques utilisables dans ces circonstances, il est important de définir rigoureusement la portée et le niveau « d'ambition » appropriés à l'analyse en cours ; par exemple, il est clair que l'on n'a pas besoin du même type d'informations à des fins d'assurance qu'à des fins de conception, ou pour la planification de systèmes de protection et la construction de dispositifs d'urgence. D'une manière générale, l'image du risque doit être complétée en mélangeant des techniques empiriques (c'est-à-dire des statistiques) avec un raisonnement déductif et une imagination créatrice.

Différents outils d'évaluation des risques - même des programmes informatiques pour l'analyse des risques - peuvent être très utiles. L'étude des dangers et de l'opérabilité (HAZOP) et l'analyse des modes de défaillance et de leurs effets (FMEA) sont des méthodes couramment utilisées pour étudier les dangers, en particulier dans l'industrie chimique. Le point de départ de la méthode HAZOP est le traçage des scénarios de risques possibles sur la base d'un ensemble de mots guides ; pour chaque scénario, il faut identifier les causes et les conséquences probables. Dans une deuxième étape, on cherche à trouver des moyens pour réduire les probabilités ou atténuer les conséquences de ces scénarios jugés inacceptables. Une revue de la méthode HAZOP peut être trouvée dans Charsley (1995). La méthode AMDE pose une série de questions « et si » pour chaque composant de risque possible afin de déterminer de manière approfondie les modes de défaillance pouvant exister, puis d'identifier les effets qu'ils peuvent avoir sur les performances du système ; une telle analyse sera illustrée dans l'exemple de démonstration (pour un système à gaz) présenté plus loin dans cet article.

Arbres de défaillances et les arbres d'événements et les modes d'analyse logique propres aux structures de causalité des accidents et au raisonnement probabiliste ne sont en rien spécifiques à l'analyse des aléas matériels, car ce sont des outils généraux d'évaluation des risques système.

Traçage des dangers matériels dans une installation industrielle

Pour identifier les dangers possibles, des informations sur la construction et la fonction peuvent être recherchées auprès de :

• équipement et usine réels

• substituts et modèles

• dessins, schémas électriques, schémas tuyauterie et instrumentation (P/I), etc.

• descriptions de processus

• schémas de contrôle

• modes et phases de fonctionnement

• ordres de travail, ordres de modification, rapports de maintenance, etc.

En sélectionnant et en assimilant ces informations, les analystes se forment une image de l'objet à risque lui-même, de ses fonctions et de son utilisation réelle. Là où les choses ne sont pas encore construites - ou indisponibles pour inspection - des observations importantes ne peuvent pas être faites et l'évaluation doit être entièrement basée sur des descriptions, des intentions et des plans. Une telle évaluation peut sembler plutôt médiocre, mais en fait, la plupart des évaluations pratiques des risques sont faites de cette façon, soit afin d'obtenir une approbation faisant autorité pour les demandes d'entreprendre une nouvelle construction, soit pour comparer la sécurité relative des solutions de conception alternatives. Les processus de la vie réelle seront consultés pour les informations qui ne figurent pas sur les diagrammes formels ou qui ne sont pas décrites verbalement lors d'un entretien, et pour vérifier que les informations recueillies à partir de ces sources sont factuelles et représentent les conditions réelles. Il s'agit notamment des éléments suivants :

• pratique et culture réelles

• mécanismes de défaillance supplémentaires/détails de construction

• "chemins furtifs" (voir ci-dessous)

• causes d'erreur courantes

• risques provenant de sources externes/missiles

• expositions ou conséquences particulières

• incidents passés, accidents et accidents évités de justesse.

La plupart de ces informations supplémentaires, en particulier les chemins sournois, ne sont détectables que par des observateurs créatifs et compétents possédant une expérience considérable, et certaines informations seraient presque impossibles à retracer avec des cartes et des diagrammes. Chemins furtifs désignent des interactions involontaires et imprévues entre les systèmes, où le fonctionnement d'un système affecte l'état ou le fonctionnement d'un autre système par d'autres moyens que les fonctionnels. Cela se produit généralement lorsque des pièces fonctionnellement différentes sont situées les unes à côté des autres ou (par exemple) lorsqu'une substance qui fuit s'écoule sur l'équipement situé en dessous et provoque une panne. Un autre mode d'action d'un chemin sournois peut impliquer l'introduction de mauvaises substances ou pièces dans un système au moyen d'instruments ou d'outils pendant le fonctionnement ou la maintenance: les structures prévues et leurs fonctions prévues sont modifiées par les chemins sournois. Par pannes de mode commun l'une signifie que certaines conditions - comme une inondation, la foudre ou une panne de courant - peuvent perturber plusieurs systèmes à la fois, entraînant peut-être des pannes ou des accidents d'une ampleur inattendue. Généralement, on essaie d'éviter les effets de chemin sournois et les défaillances de mode commun grâce à des dispositions appropriées et en introduisant la distance, l'isolation et la diversité dans les opérations de travail.

Un cas d'analyse des risques : livraison de gaz d'un navire à un réservoir

La figure 2 montre un système de livraison de gaz d'un navire de transport à un réservoir de stockage. Une fuite peut apparaître n'importe où dans ce système : navire, ligne de transmission, réservoir ou ligne de sortie ; étant donné les deux réservoirs du réservoir, une fuite quelque part sur la ligne pourrait rester active pendant des heures.

Figure 2. Ligne de transmission pour la livraison de gaz liquide du navire au réservoir de stockage

Les composants les plus critiques du système sont les suivants :

• le réservoir de stockage

• le pipeline ou le tuyau entre le réservoir et le navire

• autres tuyaux, conduites, vannes et raccords

• la soupape de sécurité sur le réservoir de stockage

• les vannes d'arrêt d'urgence ESD 1 et 2.

Un réservoir de stockage avec un stock important de gaz liquide est mis en tête de cette liste, car il est difficile d'arrêter une fuite d'un réservoir à court terme. Le deuxième élément de la liste - la connexion au navire - est essentiel car des fuites dans le tuyau ou le tuyau et des connexions ou raccords desserrés avec des joints usés, et des variations entre différents navires, pourraient libérer du produit. Les pièces flexibles comme les tuyaux et les soufflets sont plus critiques que les pièces rigides et nécessitent un entretien et une inspection réguliers. Les dispositifs de sécurité comme la soupape de surpression sur le dessus du réservoir et les deux vannes d'arrêt d'urgence sont essentiels, car ils doivent être utilisés pour révéler des défaillances latentes ou en développement.

Jusqu'à présent, le classement des composants du système quant à leur importance par rapport à la fiabilité n'a été que de nature générale. Maintenant, à des fins d'analyse, l'attention sera attirée sur les fonctions particulières du système, la principale étant bien sûr le mouvement du gaz liquéfié du navire vers le réservoir de stockage jusqu'à ce que le réservoir du navire connecté soit vide. Le danger primordial est une fuite de gaz, les mécanismes contributifs possibles étant l'un ou plusieurs des suivants :

• raccords ou vannes qui fuient

• rupture de réservoir

• rupture de tuyau ou de flexible

• panne de réservoir.

Application de la méthode AMDE

L'idée centrale de l'approche AMDE, ou analyse "et si", est d'enregistrer explicitement, pour chaque composant du système, ses modes de défaillance, et pour chaque défaillance de trouver les conséquences possibles sur le système et sur l'environnement. Pour les composants standard tels qu'un réservoir, un tuyau, une vanne, une pompe, un débitmètre, etc., les modes de défaillance suivent des schémas généraux. Dans le cas d'une vanne, par exemple, les modes de défaillance peuvent inclure les conditions suivantes :

• La vanne ne peut pas se fermer sur demande (le débit est réduit à travers une vanne « ouverte »).

• La vanne fuit (il y a un débit résiduel à travers une vanne « fermée »).

• La vanne ne peut pas s'ouvrir sur demande (la position de la vanne oscille).

Pour un pipeline, les modes de défaillance prendraient en compte des éléments tels que :

• un débit réduit

• une fuite

• un débit arrêté en raison d'un blocage

• une rupture de ligne.

Les effets des fuites semblent évidents, mais parfois les effets les plus importants peuvent ne pas être les premiers effets : que se passe-t-il par exemple, si une vanne est bloquée en position semi-ouverte ? Une vanne tout ou rien dans la conduite de refoulement qui ne s'ouvre pas complètement à la demande retardera le processus de remplissage du réservoir, une conséquence non dangereuse. Mais si la condition "bloqué à moitié ouvert" survient en même temps qu'une demande de fermeture est faite, à un moment où le réservoir est presque plein, un remplissage excessif peut en résulter (à moins que la vanne d'arrêt d'urgence ne soit activée avec succès). Dans un système correctement conçu et exploité, la probabilité que ces deux vannes soient bloquées simultanément sera maintenu assez bas.

De toute évidence, une soupape de sécurité ne fonctionnant pas à la demande pourrait signifier un désastre ; en fait, on pourrait affirmer à juste titre que des défaillances latentes menacent en permanence tous les dispositifs de sécurité. Les soupapes de surpression, par exemple, peuvent être défectueuses en raison de la corrosion, de la saleté ou de la peinture (généralement en raison d'un mauvais entretien), et dans le cas du gaz liquide, de tels défauts, combinés à la baisse de température lors d'une fuite de gaz, pourraient produire de la glace et ainsi réduire ou peut-être arrêter le flux de matière à travers une soupape de sécurité. Si une soupape de surpression ne fonctionne pas à la demande, la pression peut s'accumuler dans un réservoir ou dans des systèmes de réservoirs connectés, provoquant éventuellement d'autres fuites ou la rupture du réservoir.

Pour simplifier, les instruments ne sont pas représentés sur la figure 2 ; il y aura bien sûr des instruments liés à la pression, au débit et à la température, qui sont des paramètres essentiels pour surveiller l'état du système, les signaux pertinents étant transmis aux pupitres opérateurs ou à une salle de contrôle à des fins de contrôle et de surveillance. En outre, il y aura des lignes d'alimentation autres que celles destinées au transport de matériaux - pour l'électricité, l'hydraulique, etc. - et des dispositifs de sécurité supplémentaires. Une analyse complète doit également passer par ces systèmes et rechercher les modes de défaillance et les effets de ces composants également. En particulier, le travail de détective sur les effets de mode commun et les chemins sournois nécessite de construire l'image intégrale des principaux composants du système, des commandes, des instruments, des fournitures, des opérateurs, des horaires de travail, de la maintenance, etc.

Des exemples d'effets de mode commun à prendre en compte dans le cadre des systèmes de gaz sont abordés par des questions telles que :

• Les signaux d'activation des vannes de refoulement et des vannes d'arrêt d'urgence sont-ils transmis sur une ligne commune (câble, voies de câblage) ?

• Deux vannes données partagent-elles la même ligne électrique ?

• L'entretien est-il effectué par la même personne selon un calendrier donné ?

Même un système parfaitement conçu avec une redondance et des lignes électriques indépendantes peut souffrir d'un entretien inférieur, où, par exemple, une vanne et sa vanne de secours (la vanne d'arrêt d'urgence dans notre cas) ont été laissées dans un mauvais état après un test. Un effet de mode commun prédominant avec un système de traitement de l'ammoniac est la situation de fuite elle-même : une fuite modérée peut rendre toutes les opérations manuelles sur les composants de l'usine plutôt gênantes - et retardées - en raison du déploiement de la protection d'urgence requise.

Résumé

Les composants matériels sont très rarement les coupables du développement d'accidents ; il y a plutôt causes profondes se retrouvent dans d'autres maillons de la chaîne : faux concepts, mauvaises conceptions, erreurs de maintenance, erreurs d'opérateur, erreurs de gestion, etc. Plusieurs exemples de conditions et d'actes spécifiques pouvant conduire au développement d'un échec ont déjà été donnés ; un large éventail de ces agents tiendrait compte des éléments suivants :

• collision

• corrosion, gravure

• charges excessives

• support défaillant et pièces vieillies ou usées

• travaux de soudure de mauvaise qualité

• missiles

• parties manquantes

• surchauffe ou refroidissement

• vibration

• mauvais matériau de construction utilisé.

Le contrôle des risques matériels dans un environnement de travail nécessite l'examen de toutes les causes possibles et le respect des conditions jugées critiques avec les systèmes réels. Les implications de ceci pour l'organisation des programmes de gestion des risques sont traitées dans d'autres articles, mais, comme la liste précédente l'indique clairement, la surveillance et le contrôle des conditions matérielles peuvent être nécessaires jusqu'au choix des concepts et des conceptions pour le systèmes et processus sélectionnés.

Retour