L'ultime étape de la démarche d'évaluation est de prioriser les événements observés, a n d'aider les instances décisionnaires à établir des programmes d'amélioration de leur organisation. Cette priorisation est donnée en mesurant l'importance d'une défaillance de ressource sur la défaillance d'une fonction, au sens de la modélisation FIS.
Pour cela, il est choisi d'utiliser et d'adapter les principes théoriques présentés à la sec- tion 2.3.4. Le critère de réduction de abilité [Levitin et al., 2003] a été retenu pour le classement de l'importance des événements, car il permet d'identi er les éléments dont l'amé- lioration sera la plus e cace pour renforcer la fonction.
Pour rappel, la relation proposée était : M RRWj = 1 + 1 nj− 1 nj X i=1 max 0, P (G ≥ d) P (G ≥ d|gj = gj,i) − 1 (3.1) Avec
P (G ≥ d|gj = gj,i) > 0 pour tout i
nj = 4
Cependant, cette considération de l'interprétation des principes binaires fonctionne bien dans le cas où la performance est croissante. C'est-à-dire que l'état 0 est un état de défaillance totale et l'état n (avec n > 0) un état de performance totale. Or dans le cadre de ces travaux, les considérations sont inversées. L'état de fonctionnement optimal est 1, plus petit que l'état de dégradation maximale (n = 4).
Une nouvelle adaptation du critère MRRW est proposée, pour correspondre aux carac- téristiques des considérations de ces travaux.
M RRWj = P (G ≥ d) P (G ≥ d|gj = gj,1∪ gj = gj,2) (3.2) Avec d = 3
Dans ces travaux, la valeur de d sera xée à 3, signi ant que l'état du système sera jugé insatisfaisant dès lors qu'il est dans les niveaux : Plutôt dégradé (Niv. III) ou dégradé (Niv. IV).
Chaque nouvelle porte dé nie dans la modélisation FIS embarquera ce critère d'impor- tance. Il sera alors possible, grâce à un algorithme de recherche en profondeur d'abord, de classer les défaillances des ressources qui impactent l'état d'une fonction. À tout instant dans un arbre de défaillance donné, cette approche permet de visualiser l'importance des événements d'entrée sur la sortie d'une porte. Un exemple d'exploration pour la première branche de l'arbre de Défaut de diusion du message d'évacuation (Figure 3.18) est donné à la Figure 3.26.
ĠĨĂƵƚĚĞĚŝĨĨƵƐŝŽŶ ĚƵŵĞƐƐĂŐĞ Ě͛ĠǀĂĐƵĂƚŝŽŶ Ϭ͕ϱϯ Ϭ͕ϭϭ Ϭ͕ϭϭ Ϭ͕Ϯϱ / // /// /s ĠĨĂƵƚĚĞŵĂƚĠƌŝĞů / // /// /s Ϭ͕ϱϯ Ϭ͕ϭϭ Ϭ͕ϭϭ Ϭ͕Ϯϱ ϮͲͲZĞĚ ĠĨĂƵƚĚĞƌĞƐƐŽƵƌĐĞ / // /// /s Ϭ͕ϱϯ Ϭ͕ϭϭ Ϭ͕ϭϭ Ϭ͕Ϯϱ ĠĨĂƵƚĚĞ ƉůĂŶŝĨŝĐĂƚŝŽŶ / // /// /s ϭ Ϭ Ϭ Ϭ ĠĨĂƵƚĚĞ ŵŽďŝůŝƐĂƚŝŽŶ / // /// /s Ϭ͕ϳϱ Ϭ Ϭ Ϭ͕Ϯϱ ĠĨĂƵƚĚĞ ŵĂŝŶƚĞŶĂŶĐĞ / // /// /s Ϭ͕ϳ Ϭ͕ϭϱ Ϭ͕ϭϱ Ϭ ĠĨĂƵƚĚĞ ĚŝƐƉŽŶŝďŝůŝƚĠ / // /// /s Ϭ͕ϳϱ Ϭ Ϭ Ϭ͕Ϯϱ ĠĨĂƵƚĚĞ ũŽŝŐŶĂďŝůŝƚĠ / // /// /s ϭ Ϭ Ϭ Ϭ WƌŝŽƌ DZZtсϭ EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϮ DZZtсь EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ DZZtсь EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ͘ϭ DZZtсϭEŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ͘Ϯ DZZtсϭ͘ϰϱ EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ͘ϭ͘ϭ ǀĠŶĞŵĞŶƚĚĞƌĂŶŐϮ DZZtсϮ͘ϰϮ EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ͘ϭ͘Ϯ DZZtсь EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ͘ϭ͘Ϯ͘ϭ ǀĠŶĞŵĞŶƚĚĞƌĂŶŐϭ DZZtсϭ EŝǀĞĂƵĚ͛ĞdžƉůŽƌĂƚŝŽŶϭ͘ϭ͘Ϯ͘Ϯ ĠĨĂƵƚĚĠĐŝƐŝŽŶŶĞů ŽƵŽƉĠƌĂƚŝŽŶŶĞů / // /// /s ϭ Ϭ Ϭ Ϭ
Figure 3.26 Illustration de l'exploration de recherche des facteurs d'importance pour la première branche de l'arbre de défaillance Figure 3.18 page 101
Pour l'événement sommet Défaut de diusion du message d'évacuation, la répartition des probabilités des niveaux est la suivante : p1 = 0.53, p2 = 0.11, p3 = 0.11 et p4 = 0.25. Cet
événement sommet est la combinaison par une porte max des événements Défaut décisionnel ou opérationnel et Défaut matériel. La porte de cet événement est donnée dans le Tableau 3.9.
Table 3.9 Porte OU multi-niveaux avec probabilité de l'événement Défaut de diusion du message d'évacuation
Défaut décisionnel ou opérationnel
Niv. I {1, 1.0} Niv. II {2, 0.0} Niv. III {3, 0.0} Niv. IV {4, 0.0}
Défaut matérie l Niv. I {1, 0.53} {1, 0.53} {1, 0.0} {3, 0.0} {4, 0.0} Niv. II {2, 0.11} {2, 0.11} {2, 0.0} {3, 0.0} {4, 0.0} Niv. III {3, 0.11} {3, 0.11} {3, 0.0} {3, 0.0} {4, 0.0} Niv. IV {4, 0.25} {4, 0.25} {4, 0.0} {4, 0.0} {4, 0.0} Pour le Défaut décisionnel ou opérationnel, le calcul du niveau d'importance (MRRW1)
est le suivant : M RRW1 = P (G ≥ 3) P (G ≥ 3|g1 = g1,1∪ g1 = g1,2) (3.3) Avec P (G ≥ 3|g1 = g1,1∪ g1 = g1,2) = P (G ≥ 3) ∩ P (g1 = g1,1∪ g1 = g1,2) P (g1 = g1,1∪ g1 = g1,2) D'où M RRW1 = 0.36 0.11 + 0.25 × 1 = 1 (3.4) Pour le Défaut matériel, le calcul du niveau d'importance (MRRW2) est le suivant :
M RRW2 = P (G ≥ 3) P (G ≥ 3|g2 = g2,1∪ g2 = g2,2) (3.5) Avec P (G ≥ 3|g2 = g2,1∪ g2 = g2,2) = P (G ≥ 3) ∩ P (g2 = g2,1∪ g2 = g2,2) P (g2 = g2,1∪ g2 = g2,2) D'où M RRW2 = 0.36 0 × 0.66 → ∞ (3.6) Étant donné MRRW1 < M RRW2, le mode de défaillance Défaut matériel doit être exploré
en priorité par rapport au Défaut décisionnel ou opérationnel. Les niveaux d'exploration sont donc respectivement 1 et 2.
Le Défaut matériel est constitué des Défaut de ressource et Défaut de plani cation. De la même façon que précédemment ces événements sont priorisés. Les valeurs d'importance obtenues pour le Défaut de ressource et le Défaut de plani cation sont respectivement ∞ et 1. Les niveaux d'exploration attribués à ces événements sont 1.1 et 1.2 signi ant, que le Défaut de ressource doit être investigué avant le Défaut de plani cation.
Le Défaut de ressource est constitué des Défaut de mobilisation et Défaut de maintenance. L'opération de calcul du facteur d'importance est une nouvelle fois répétée. Les valeurs d'im- portance obtenues sont respectivement de 2.42 et 1.45. Le Défaut de maintenance se voit attribuer le niveau d'exploration 1.1.1, tandis que le Défaut de mobilisation se voit attribuer l'indice 1.1.2. Le Défaut de maintenance étant une défaillance de base, il est alors possible de compléter le Tableau 3.10 en ajoutant cette première donnée en entrée du tableau (1èreligne).
En n, une ultime exploration est nécessaire pour le Défaut de mobilisation. Constitués du Défaut de disponibilité et du Défaut de joignabilité, les résultats du calcul du facteur d'importance donnent la priorité au Défaut de disponibilité (MRRW → ∞). Le Défaut de joignabilité a, quant à lui, un facteur d'importance de 1. Les niveaux d'exploration pour ces deux niveaux sont donc respectivement 1.1.2.1 et 1.1.2.2. S'agissant de modes de défaillance de base, ces données sont portées en données d'entrée du Tableau 3.10 (2ème ligne).
L'objectif de cette descente dans l'arbre étant de trouver les leviers qui permettront d'augmenter le plus e cacement possible la qualité de la fonction étudiée.
Le Tableau 3.10 donne le classement de cette exploration. Dans celui-ci, le Défaut de maintenance a une priorité plus importante (rang 1) que le Défaut de disponibilité (rang 2). Le niveau d'exploration permet de classer les événements en fonction de la profondeur d'exploration de l'arbre. Il s'agit de la position d'un événement de base dans l'arbre de défaillance par rapport à l'événement sommet, en fonction de la priorité des événements intermédiaires.
Table 3.10 Comparaison des facteurs d'importance pour une demande d ≥ 3 M RRW Niveau d'exploration Rang nal Défaut de maintenance 1.45 1.1.1 2 Défaut de disponibilité ∞ 1.1.2.1 1
Remarque : les éléments de base ayant un MRRW = 1, sont ceux n'impactant pas la dégradation de la défaillance de la fonction, pour un seuil donné.
Conclusion
Dans ce chapitre, les appropriations des concepts décrits au chapitre 2 ont été présentées. Ces concepts ont été intégrés à la méthode de modélisation FIS dans le cadre de l'évaluation des plans d'urgence à base de modèle. Le choix de l'homogénéité du modèle est discuté et les caractéristiques informatiques pour la prise en compte des modes de défaillance multi- niveaux sont présentées.
Dans un deuxième temps, la démarche d'évaluation des plans de secours a été présentée. Cette démarche se découpe en deux temps : 1) la modélisation des interactions fonctions- ressources et 2) la modélisation de la propagation des perturbations pour la construction d'indicateurs.
Une étude de plusieurs PCS a permis de déterminer un modèle générique des plans d'ur- gence dans son intégralité. La modélisation générique a permis de déterminer une liste de ressources, fonctions, modes de défaillances structurels et fonctionnels, un séquencement des fonctions dans le temps, caractérisant des déclencheurs pour activer ou désactiver les fonc- tions, suivant le type d'événement.
Grâce à la structure générique du modèle, des relations entre modes de défaillance struc- turels et modes de défaillance fonctionnels ont pu être établies. La caractérisation de ces relations de défaillance est supportée par le formalisme des arbres de défaillance, adapté pour caractériser les événements sur plus de deux états discrets, à la diérence de ce qui est proposé usuellement. Une caractérisation à plus de deux états discrets permet une meilleure représentation de la dégradation apportée par les modes de défaillance. Cette nouvelle consi- dération a nécessité le développement de portes spéci ques pour les arbres de défaillance.
La démarche proposée rend alors possible, en observant des états de ressources, d'accéder à un niveau de fonctionnement de la fonction. Ceci est réalisé en évaluant des couples de {niveau, probabilité} des défaillances structurelles au travers d'un questionnaire sur l'en- semble des ressources d'une fonction. Grâce aux arbres de défaillance construits sur la base du modèle établi, il est possible de propager les perturbations des ressources observées via le questionnaire, vers des indicateurs fonctionnels.
En n une série d'indicateurs a pu être proposée suivant les diérentes vues du système. Il est alors possible d'avoir une vue de la dégradation des fonctions assurées par le plan, des ressources et des modes de défaillance. Ces diérentes vues permettent aux instances décisionnaires d'avoir une représentation graphique de la capacité des fonctions décrites dans le plan à se réaliser. Cela permet par la suite de connaitre les vulnérabilités du plan
au moment de son exécution et/ou de les anticiper en phase pré-urgence, en déployant des plans d'amélioration.
Chapitre
4
Application à une collectivité locale de
la démarche d'évaluation a priori
Sommaire
Introduction . . . 119 4.1 Description du territoire communal . . . 120 4.1.1 Caractéristiques géographiques . . . 120 4.1.2 Risques Naturels . . . 120 4.1.3 Risques Technologiques . . . 122 4.1.4 Détails des caractéristiques de l'organisation de gestion d'événement
du PCS . . . 123 4.1.5 Conclusion . . . 124 4.2 Validation de la modélisation . . . 125 4.2.1 Modèle présenté . . . 125 4.2.2 Adaptations . . . 126 4.3 Collecte des informations sur les ressources de la fonction d'éva-
cuation . . . 129 4.3.1 Conclusions . . . 132 4.4 Représentations des résultats et interprétations . . . 134 4.4.1 Etats du système d'évacuation . . . 134 4.4.2 Etats de l'événement population évacuée < population à évacuer . 135 Conclusion . . . 143
Introduction
Pour valider la démarche présentée au chapitre 3, le protocole suivant a été adopté pour le cas d'étude d'une commune du Languedoc-Roussillon :
1. Validation de la modélisation
2. Collecte d'informations sur l'état des ressources des fonctions validées 3. Présentation et interprétation des résultats
Avant de détailler chacune de ces parties dans les sections suivantes, la section 4.1 de ce chapitre décrira les caractéristiques territoriales de la commune étudiée, retenue pour cette étude. La section 4.2 traitera de la validation de la représentation modélisée d'une mission particulière : la mission d'évacuation. La section 4.3 présentera les données collectées pour ce cas d'étude. Quant à la section 4.4, elle présentera les résultats issus de cette collecte de données.