Analyse de la résilience sur le système d’illustration

La résilience peut être mesurée de deux façons. La résilience réelle après une crise, c’est-à-dire a posteriori, peut se mesurer sur une évolution de performance constatée, en proposant des temps caractéristiques auxquels mesurer la performance. C’est ce que propose dans un premier temps cette méthodologie. Pour une évaluation de la résilience a priori, face à des vignettes définies mais encore non arrivées, la situation est plus complexe. Dès lors que l’on parle d’une réaction, il faut prendre en compte le contexte, les contraintes règlementaires et éventuelles pressions politiques ou juridiques qui sont autant de facteurs qui pourraient perturber la mise en place des réactions prévues dans la planification de la gestion de crise.

C’est pourquoi on peut évaluer l’existence de ces capacités de résilience et leur dimensionnement, mais il est difficile de prévoir de façon certaine la réalisation de ces capacités sur une courbe de performance. La résilience a priori sera donc évaluée plutôt sur l’existence d’une planification et la qualité de la préparation face à la vignette, sur les moyens de détection et sur le dimensionnement des ressources palliatives disponibles pour obtenir les performances voulues aux même temps caractéristiques que ceux utilisés pour la résilience a posteriori. Cette deuxième partie est également présentée par la suite. Comme les vignettes

choisies par les opérateurs correspondent à des situations non réalisées, c’est la résilience a priori qui a été appliquée dans le cadre de RESIWATER.

Dans les deux cas, a posteriori et a priori, la résilience est composée des capacités d’absorption, d’adaptation et de réparation. Nous avons vu dans le chapitre 2 que la capacité d’absorption pouvait être vue comme l’opposée de la vulnérabilité du système, et était associée à la réaction passive du système technique. La capacité d’adaptation correspond, elle, à la réaction en urgence du système, et la capacité de récupération à la mise en place de solutions durables. Malgré l’apparente succession de ces phases, chacune ne commence pas là où la précédente phase se termine, mais elles ont des périodes de recouvrement, comme l’illustre la Figure 70.

Figure 70 : Echelle temporelle des phases de résilience

La phase d’absorption se termine lorsque l’évolution du système est influencée par la mise en place des actions d’urgence de la phase d’adaptation, c’est-à-dire lorsqu’il quitte la tendance

« naturelle » ou « passive » d’évolution. Ce temps caractéristique où les solutions palliatives commencent à prendre effet sera appelé tpalliatif. Cependant la phase d’adaptation ne commence pas lors de la mise en place de ces actions, mais avant, dès la phase de détection de l’anomalie. Elle se poursuit jusqu’au moment où le système a réussi à endiguer la dégradation de performance jusqu’à retrouver une performance relativement stable, même si celle-ci se base sur des solutions temporaires. Nous appellerons ce temps caractéristique tstabilisation . Cependant tstabilisation n’est pas en soi la fin de la phase d’adaptation : celle-ci se termine lorsque plus aucune solution temporaire n’est utilisée pour maintenir la performance du système. C’est-à-dire qu’elle se termine lorsque toutes les solutions à long terme ont été implémentées, à la fin de la phase de réparation, et que le système a retrouvé une performance au moins égale à celle obtenue initialement. Le début de cette phase de réparation est lui

marqué par tstabilisation dans la mesure où il faut stabiliser un système avant d’essayer d’implémenter des solutions sur le long terme.

4.1.4.1 Capacité d’absorption

Définir tpalliatif signifie connaître par vignette une estimation du temps de détection de l’évènement, connaitre le délai de décision (temps de mobilisation de la cellule de crise) et le délai d’implémentation des premières mesures. Pour une bonne capacité d’absorption (RAB=3), il faut que tpalliatif soit inférieur à tdégradation qui correspond sur la courbe d’évolution naturelle au temps pour lequel la performance est égale au seuil limite contractuel Pnormal. Si on définit tdéfaillant comme le moment où l’évolution passive de la performance conduit à un système défaillant (P= Pdéfaillant), on a une capacité d’absorption RAB=1 si tpalliatif est supérieur à tdéfaillant, et une capacité d’absorption RAB=2 si tpalliatif est compris entre tdégradation et tdéfaillant. La figure ci-dessous illustre ces trois états.

Figure 71 : les temps caractéristiques pour évaluer la capacité d’absorption En résumé, on a l’algorithme suivant:

Si tpalliatif < tdegradation (Etat à tpalliatif = NORMAL) Alors RAB = 3

Si tdegradation < tpalliatif < tdéfaillant (Etat à tpalliatif= DEGRADE) Alors RAB = 2 Si tdéfaillant <t^palliatif(Etat à t^palliatif= DEFAILLANT) Alors R^AB= 1

Pour rappel, nous avons défini la vulnérabilité du système comme étant égale à la capacité d’absorption. Il est cependant à noter que les échelles de vulnérabilité et de résilience sont inversées : une grande vulnérabilité signifie une marque de 3, alors qu’une faible résilience signifie une marque de 1. Nous avons donc l’équivalence suivante entre la vulnérabilité du système et la capacité d’absorption :

Vsystème(tpalliatif) = 4 – RAB ↔ R AB = 4 – Vsystème(tpalliatif) (3)

Application au système d’illustration

Dans ce système simple, on a tpalliatif > tdéfaillant =1 jour, donc Vsystème= 3 et RAB =1.

4.1.4.2 Capacité d’adaptation a posteriori

La capacité d’adaptation est définie comme la capacité à atteindre un niveau stabilisé de performance à tstabilisation, dans un délai acceptable tacceptable d’un point de vue temporel vis-à-vis des conséquences sociétales extérieures ou d’un point de vue financier interne (délai

maximum d’interruption d’activité avant faillite de l’entreprise). Seule la théorie sera expliquée sur la capacité d’absorption a posteriori, c’est-à-dire après observation de cette courbe de performance face à un scénario. De même que pour la capacité d’absorption, la capacité d’adaptation est définie par l’algorithme suivant. Nous y distinguons deux catégories : si la stabilisation arrive avant le délai acceptable de service dégradé, ou si elle arrive après ce délai.

If tstabilisation ≤ tacceptable

Then

If STATE @ tstabilisation = NORMAL Then RAD = 3 If STATE @ tstabilisation = DEGRADE Then RAD = 2 If STATE @ tstabilisation = DEFAILLANT Then RAD = 1 Endif

Elseif tacceptable < tstabilisation

Then

If STATE @ tstabilisation = NORMAL Then RAD = 2 If STATE @ tstabilisation = DEGRADE Then RAD = 1 If STATE @ tstabilisation = DEFAILLANT Then RAD= 1 Endif

Endif

Figure 72 : Capacité d’adaptation a posteriori

La description précédente est principalement théorique. Dans une approche a priori, nous nous intéresserons à évaluer la cohérence des ressources et processus avec l’objectif d’atteindre les seuils de délais et de performance d’une bonne capacité d’adaptation (RAD=3).

C’est ce qui est présenté dans le paragraphe suivant.

4.1.4.3 Capacité d’adaptation a priori

Il existe deux services à analyser : la capacité d’adaptation du réseau technique à fournir le service (distribuer de l’eau potable par exemple), et la capacité d’adaptation de l’organisation à fournir un service dégradé de façon alternative si la vignette l’exige (distribution de bouteilles d’eau, mise en place de générateurs de secours pour les quartiers sans électricité, etc.). Elles seront évaluées du point de vue de la préparation de l’organisation et du dimensionnement des ressources. Ces adaptations se basent au préalable sur l’existence d’une capacité de détection des effets des vignettes. L’ensemble des aspects étudiés est résumé dans le tableau ci-dessous.

Table 32 : Aspects évalués pour la capacité d’adaptation RAD a priori

Détection RAD (Détection)

Evaluation de la préparation Dimensionnement des ressources disponibles

Capacité d’adaptation du réseau technique (si elle existe)

RAD technique(Préparation) RAD technique (Ressources)

Capacité d’adaptation de l’organisation à fournir un service non-nominal si nécessaire

RAD organisation(Préparation) RAD organisation (Ressources)

La table ci-dessous propose un questionnaire d’évaluation de ces capacités d’adaptation. C’est ce questionnaire qui a été utilisé par les opérateurs de réseau d’eau dans leurs études de cas (présentées dans un second paragraphe).

Table 33 : Questionnaire d’évaluation de la capacité d’adaptation a priori sur l’aspect détection

Question (Non Résilient: 1, Résilient: 3) 1 2 3

a Il faut établir en premier la capacité de détection de la perte de performance du réseau face à la vignette considérée.

· Il existe des détecteurs capables d’informer en temps réel la salle de gestion d’une perte de performance. L’instant de détection précède donc l’instant de défaillance è RAD (Détection interne)=3

· Il existe quelques détecteurs, mais le délai de détection est extrêmement variable et difficile à évaluer è RAD (Détection interne)=2

· Il existe quelques détecteurs, mais l’instant de détection suit l’instant de défaillance, ou il n’existe pas de détecteur en interne è RAD (Détection interne)=1

a* Si la vignette concerne un évènement naturel majeur qui a une dynamique lente (inondation, pluie intense, etc.):

· Il existe un système d’alerte précoce face à cette vignette et le réseau connaît son seuil d’intensité au-delà duquel il risque des dégâts matériels è RAD (Détection externe)=3

· Il existe un système d’alerte précoce face à cette vignette mais le réseau ne connaît pas son seuil d’intensité au-delà duquel il risque des dégâts matériels è RAD (Détection externe)=2

· Il n’existe pas de système d’alerte précoce face à cette vignette è RAD (Détection externe)=1

Bilan: Si la vignette concerne un évènement naturel majeur qui a une dynamique lente

RAD(Detection)= MIN [RAD (Détection externe), RAD (Détection interne)]

Le questionnaire ci-dessous s‘intéresse aux aspects techniques et organisationnels. Nous considérons qu’il est possible d’avoir une capacité d’adaptation technique très bonne RAD technique=3. Cependant, nous considérons que la capacité d’adaptation de l’organisation à distribuer un service non-nominal signifie que le réseau est dans un mode défaillant et que donc on a au mieux RAD organisation =2.

Table 34 : Questionnaire d’évaluation de la capacité d’adaptation technique a priori hors aspect détection

Question (Non Résilient: 1, Résilient: 3) ¹² ³

b Evaluation de la capacité technique d’adaptation par vignette :

· Il existe une reconfiguration du réseau (par ouverture de vannes par exemple) et cette solution permet au système de retrouver une performance au moins égale au seuil contractuel avant tacceptable

è RAD technique (Efficacité)= 3

· Il existe une reconfiguration du réseau mais cette solution implique une dégradation de service (en quantité ou qualité) è RAD technique (Efficacité)= 2

· Il n’existe pas de reconfiguration du réseau è RAD technique (Efficacité)= 1

c Si RAD technique (Efficacité) 2 : Evaluation de la préparation technique à utiliser cette reconfiguration :

· Existe-t-il une procédure dédiée explicitant cette reconfiguration d’urgence (planification) ?

· Cette reconfiguration a-t-elle été testée ?

Si les deux points existent è RAD technique(Préparation)=3, Si un des points existe è RAD technique(Préparation)=2, Si aucun point n’existe è RAD technique(Préparation)=1

d Si RAD technique (Efficacité) 2: Evaluation des ressources disponibles au sein du réseau technique pour mettre en place la reconfiguration. Quel délai supplémentaire de résistance cette solution apporte-t-elle?

· Cette solution assure une performance minimale pour une durée supérieure au délai d’implémentation des solutions de réparation à long terme. è RAD technique (Ressources)=3

· Cette solution assure une performance minimale pour une durée supérieure à la moitié du délai d’implémentation des solutions de réparation à long terme. è RAD technique (Ressources)=2

· Cette solution ne peut pas réduire de façon significative la défaillance du réseau è RAD technique (Ressources)=1

RAD technique signature:

et RAD technique =

MIN[RAD technique (Efficacité),RAD technique(Préparation), RAD technique (Ressources)]

Table 35 : Questionnaire d’évaluation de la capacité d’adaptation organisationnelle, a priori, à fournir une solution alternative au service contractuellement prévu

Question (Non Résilient: 1, Résilient: 3) ¹² ³

e Si la vignette implique une défaillance de service, évaluation de la préparation de l’organisation à utiliser cette solution (distribuer des bouteilles ici) :

· Existe-t-il une procédure dédiée à la distribution de bouteilles dans la planification des actions d’urgence ?

· Existe-t-il un plan de communication aux consommateurs?

S’il existe au moins un point è RAD organisation(Préparation)=2 Si aucun point n’est disponible è RAD organisation(Préparation)=1

f Si la vignette implique une défaillance de service, évaluation des ressources disponibles au sein de l’organisation pour mettre en place ce service non-nominal. Quel délai supplémentaire de compensation cette solution apporte-t-elle ? Ici nous considérons un stock de bouteilles d’eau, en tenant compte de la possibilité de réapprovisionnement.

· Le stock peut satisfaire une consommation personnelle (hors industrie) d’au moins la moitié du délai d’implémentation des solutions de réparation à long terme è RAD organisation (Ressources)=2

· Le stock ne peut pas compenser sur une durée significative la défaillance du réseau è RAD organisation (Ressources)=1

RAD organisation signature:

RAD organisation = MIN[RAD organisation(Préparation), RAD organisation (Ressources) ]

4.1.4.4 Capacité de réparation

Elle est définie comme la capacité à retrouver un niveau de performance au moins égal à celui initial. Il est difficile d’estimer cette capacité de réparation RRE a priori. Nous nous concentrerons sur deux indicateurs, d’un côté les ressources disponibles et les coûts supportables par l’organisation pour cette réparation, de l’autre la rapidité de mise en place des solutions à long terme. Le questionnaire dédié à cette capacité est relativement simple.

Table 36 : Evaluation de la capacité de réparation

Question (Non Résilient: 1, Résilient: 3) ¹ ² ³

g · Existe-t-il une solution de réparation acceptable en termes de coût dans un délai acceptable tfin de réparation•tacceptable ? è RRE=3

· Existe-t-il une solution acceptable en termes de coût mais tfin de réparation•tacceptable ? èRRE=2

· Il n’existe pas de solution financièrement acceptable è RRE=1

4.1.4.5 Application au cas illustratif de la capacité d’adaptation et de réparation

Rappel : la vignette représente une inondation par débordement d’une rivière. Le système est représenté ci-dessous à la fin de la phase d’absorption.

Figure 73 : Etat du système illustratif à la fin de la phase d’absorption

Afin d’illustrer l’application des questionnaires précédents, les paragraphes suivants décrivent la réaction du système illustratif. Nous avions fait l’hypothèse que l’inondation durait 3 jours, et qu’il y avait un jour de stock d’eau. Le site de prévision des crues « VigiCrue » est considéré comme l’outil d’alerte précoce associé à cette vignette. Nous avons tdéfaillant (=1j) <tpalliatif. Le système est défaillant au bout d’un jour. Nous faisons l’hypothèse que la solution de réparation de la station de pompage est abordable financièrement, et que les gestionnaires ont les pièces de rechange et une équipe disponible pour réaliser les travaux en moins de sept jours après le retrait des eaux. Dans cet exemple, il n’y a pas de possibilité de reconfiguration, donc le niveau de performance peut être stabilisé uniquement à la fin de la réparation et donc de la crise tstabilisation= tfin de réparation . Pour compenser ces neufs jours sans eau courante, le gestionnaire de réseau peut anticiper l’achat et le stockage des bouteilles selon l’étendue de la zone privée d’eau. Dans cet exemple illustratif, nous partirons du principe qu’il est possible de stocker et d’acheminer des bouteilles d’eau pour l’ensemble des particuliers sur les 10 jours, et que cette procédure existe et a été testée. Dans un exemple plus réaliste que le système illustratif, (quartiers de ville, territoire rural étendu), il n’est pas forcément évident d’être capable d’acheminer des stocks de bouteilles si importants en si peu de temps, en plus de la problématique du coût ! De plus, une consommation d’eau en bouteille n’est pas acceptable pour des interruptions s’étendant sur plusieurs semaines ou mois. Dans certaines situations extrêmes, où il est notamment difficile d’évacuer sur de longues périodes les résidents, il est possible que la pression politique pousse le gestionnaire à réalimenter le réseau en diminuant la qualité de l’eau distribuée afin de préserver l’activité économique, le fonctionnement des égouts, etc. Or, cette décision politique entraînerait une augmentation du coût et du délai de réparation (nettoyage du réseau pour retrouver après coup une qualité d’eau équivalente à l’initiale). Cette décision politique reflète le délai socialement

« acceptable » d’interruption de l’eau. Nous ferons l’hypothèse pour ce système illustratif que ce délai vaut tacceptable=15j.

Nous avons donc : tdéfaillant (=1 j) <t^palliatif(=3 j) ; tstabilisation= tfin de réparation=10 j ; tacceptable=15 j.

Evaluation de la capacité d’adaptation

La constatation (donc la détection) d’une inondation est évidente lorsque l’on parle d’usine de traitement qui fonctionne avec du personnel sur place. La seule possibilité de reconfiguration du réseau correspond à l’alimentation des consommateurs uniquement par le réservoir et non plus directement par l’usine. Il s’agit d’une réaction « automatique » du système, telle que définie dans les procédures de gestion de la salle de commande. Le château d’eau peut alimenter les consommateurs une journée, c’est-à-dire moins que la moitié du délai de réparation estimé (10 j). Le questionnaire ci-dessous permet d’évaluer la capacité d’adaptation sur ces différents aspects.

Table 37 : Capacité de détection du cas illustratif