thumb|Exemple d'arbre de défaillances.
Un arbre de défaillances ou ADD (aussi appelé arbre de pannes ou arbre de fautes) est une technique d’ingénierie très utilisée dans les études de sécurité et de fiabilité des systèmes statiques (un système statique est un système dont la défaillance ne dépend pas de l'ordre de défaillance de ses composants), ainsi que dans l'analyse de cause racine (ACR). Cette méthode consiste à représenter graphiquement les combinaisons possibles d’événements qui permettent la réalisation d’un événement indésirable prédéfini. Une telle représentation graphique met donc en évidence les relations de cause à effet. Cette technique est complétée par un traitement mathématique qui permet la combinaison de défaillances simples ainsi que de leur probabilité d'apparition. Elle permet ainsi de quantifier la probabilité d'occurrence d'un événement indésirable, également appelé « événement redouté ».
Généralités
L'arbre de défaillances ( ou « FT » en anglais) est un outil graphique très utilisé dans les études de sécurité et de fiabilité des systèmes. Cet outil, aussi appelé « arbre de pannes » ou « arbre de fautes », permet de représenter graphiquement les combinaisons possibles d’événements qui permettent la réalisation d’un événement indésirable prédéfini. L’arbre de défaillances est ainsi formé de niveaux successifs d’événements qui s’articulent par l’intermédiaire de portes (initialement logiques). En adoptant cette représentation et la logique déductive (allant des effets vers les causes) et booléenne qui lui est propre, il est possible de remonter d’effets en causes de l’événement indésirable à des événements de base, indépendants entre eux et probabilisables Probabilistic Risk Analysis: Foundations and Methods, Tim Bedford, Roger Cooke, Cambridge University Press, Cambridge, Royaume-Uni 2001..
Lorsqu’il s’agit d’étudier les défaillances d’un système, l’arbre de défaillances s’appuie sur une analyse dysfonctionnelle d’un système à réaliser préalablement : une analyse des modes de défaillance et de leurs effets (AMDE, ou complétée par la criticité, AMDEC). Cette méthode inductive (allant des causes vers les effets) apparaît donc comme un préalable à la construction d’un arbre de défaillances puisque l’identification des composants et de leurs modes de défaillance est généralement utilisée au dernier niveau d’un arbre.
L’analyse par arbre de défaillances est certainement une des techniques d’ingénierie les plus répandues, avec les diagrammes de fiabilité (qui reposent sur les mêmes fondements mathématiques) pour analyser la sûreté de fonctionnement d’un système mais d’autres méthodes existent.
L’analyse par arbre de défaillances et le diagramme de fiabilité sont des méthodes pratiques à condition que les événements de base soient faiblement dépendants. Dans le cas contraire, ces techniques deviennent caduques et il est nécessaire d’employer une technique plus appropriée reposant sur un modèle dynamique comme un processus de Markov.
Les arbres de défaillances sont utilisés dans l'ingénierie de sûreté des industries « à risques » : aérospatial, ferroviaire, nucléaire, naval, chimie… Ils peuvent être utilisés comme un outil d’évaluation de la conception ; ils permettent d’identifier les scénarios conduisant à des accidents dans les phases amont du cycle de vie d’un système et peuvent éviter des changements de conception d’autant plus coûteux qu’ils sont tardifs. Ils peuvent aussi être utilisés comme un outil de diagnostic, prévoyant la ou les défaillances des composants la ou les plus probables lors de la défaillance d’un système.
De nombreux ouvrages .... de sûreté de fonctionnement traitent de ce sujet.
Historique Les arbres de défaillances ont été inventés à l’origine par des ingénieurs, puis ils ont été formalisés par les mathématiciens et les informaticiens ont développé des logiciels pour les manipuler.
L'analyse par arbre de défaillances a été à l'origine développée en 1962 aux Laboratoires Bell par H.A. Watson, sur une demande de l’U.S. Air Force pour évaluer le Système de commande de Lancement du missile balistique intercontinental MinutemanAndré Lannoy, Maîtrise des risques et sûreté de fonctionnement - repères historiques et méthodologiques, Lavoisier, 2008.. L'utilisation des arbres de défaillances s’est répandue et sert souvent comme un outil d'analyse de la défaillance d’un système à des experts de fiabilité.
Après la première utilisation (missile Minuteman), Boeing et AVCO ont utilisé les arbres de défaillances pour l’ensemble du système de Minuteman II en 1963 et 1964. Ce mode d’analyse fit l’objet d’une grande promotion lors du Symposium System Safety de 1965 à Seattle patronné par Boeing et l'université de Washington. Boeing a commencé à utiliser les arbres de défaillances pour la conception d'avions civils vers 1966. En 1970, aux États-Unis, la direction générale de l'aviation civile américaine (FAA) a changé sa réglementation pour l'aviation de transport. Ce changement a conduit à adopter des critères probabilistes d'échec pour les équipements et systèmes avioniques et a mené à l'utilisation courante des arbres de défaillances dans le domaine de l'aviation civile.
Dans l'industrie du nucléaire civil, l’U.S. Nuclear Regulatory Commission (NRC) a commencé à utiliser l'évaluation de risque probabiliste (PRA ou ) via des méthodes incluant les arbres de défaillances en 1975, notamment avec la publication du rapport Rasmussen (appelé aussi WASH-1400). Ce rapport a été un jalon important dans le développement des études probabilistes pour les centrales nucléaires car il a établi une méthodologie d'identification et de quantification des scénarios susceptibles de conduire à la fusion du cœur d'une centrale, méthodologie dont les grands principes sont toujours en vigueur quarante ans après. En 1979, à la suite de l’accident de Three Mile Island la NRC a intensifié la recherche sur les PRA. Cela a finalement mené à la publication en 1981 du manuel sur les arbres de défaillances intitulé (NUREG-0492) et à l’obligation de réaliser des PRA pour les installations nucléaires sous l’autorité de la NRC.
Représentation Un arbre de défaillances est généralement présenté de haut en bas.
La ligne la plus haute ne comporte que l'évènement dont on cherche à décrire comment il peut se produire.
Chaque ligne détaille la ligne supérieure en présentant la combinaison ou les combinaisons susceptibles de produire l'évènement de la ligne supérieure auquel elles sont rattachées.
Ces relations sont représentées par des liens logiques, dont la plupart sont des « ou » et « et » ; on emploie généralement le terme de « porte OU » et de « porte ET ».
Méthodologie Démarche et définitions L’arbre de défaillances est une méthode déductive, qui fournit une démarche systématique pour identifier les causes d’un événement unique intitulé événement redouté. Le point de départ de la construction de l’arbre est l’événement redouté lui-même (également appelé événement sommet). Il est essentiel qu’il soit unique et bien identifié. À partir de là, le principe est de définir des niveaux successifs d’événements tels que chacun est une conséquence d’un ou plusieurs événements du niveau inférieur. La démarche est la suivante : pour chaque événement d’un niveau donné, le but est d’identifier l’ensemble des événements immédiats nécessaires et suffisants à sa réalisation. Des opérateurs logiques (ou portes) permettent de définir précisément les liens entre les événements des différents niveaux Fault tree handbook, W. E. Vesely, F. F. Goldberg, N. H. Roberts, D.F. Haasl, NUREG report 0492, 1981..
Le processus déductif est poursuivi niveau par niveau jusqu’à ce que les spécialistes concernés ne jugent pas nécessaire de décomposer des événements en combinaisons d’événements de niveau inférieur, notamment parce qu’ils disposent d’une valeur de la probabilité d’occurrence de l’événement analysé. Ces événements non décomposés de l’arbre sont appelés événements élémentaires (ou événements de base).
Notons queIEC 61025 Fault tree analyses et sa traduction française NF EN 61025 Analyse par arbre de pannes:
1. Il est nécessaire que les événements élémentaires soient indépendants entre eux ;
2. Leur probabilité d’occurrence doit pouvoir être quantifiée (condition nécessaire seulement dans le cas où l’arbre est destiné in fine à une analyse quantitative) ;
3. Contrairement à l’approche inductive de l’AMDE(C) (analyse des modes de défaillance, de leurs effets et de leur criticité) qui ne cible pas les conséquences des défaillances élémentaires, l’approche déductive de l’arbre de défaillances permet de se focaliser exclusivement sur les défaillances contribuant à l’événement redouté.
Voici un exemple d’analyse par arbre de défaillances d’un système simple constitué d’une ampoule fonctionnant sur batterie et dont la mise en action est commandée à l’aide d’un bouton poussoir.
• Événement redouté : ⇒ L’ampoule ne s’allume pas. • Premier niveau : ⇒ Événements de niveau inférieur pouvant générer l’événement redouté : - Défaillance au niveau du bouton poussoir; - Défaillance des batteries A et B (redondance) ; - Défaillance de l’ampoule. • Second niveau : ⇒ Événements pouvant être à l’origine de l’indisponibilité du bouton poussoir : - Erreur de l’opérateur (pression trop forte sur le bouton) ; - Dégradation des fils au niveau de l’interrupteur ; - Blocage du mécanisme. ⇒ Événements pouvant être à l’origine de l’indisponibilité d'une batterie : - Décharge complète de la batterie. ⇒ Événements pouvant être à l’origine de la défaillance de l’ampoule : - Agression mécanique de l’ampoule ; - Défaillance de l’ampoule elle-même. L’arbre de défaillances correspondant à cette analyse est le suivant :cadre|centré|alt=Exemple d'arbre de défaillances|Exemple d’analyse par arbre de défaillances d’un système simple : une lampe alimentée par batterie.
La construction de l’arbre de défaillances est une phase importante de la méthode car sa complétude conditionne celle de l’analyse qualitative ou quantitative qui sera réalisée par la suite.
Analyse qualitative : l’arbre de défaillances étant construit, deux types d’exploitation qualitatifs peuvent être réalisés :
1. L’identification des scénarios critiques susceptibles de conduire à l’événement redouté.
Par l’analyse des différentes combinaisons de défaillances menant à l’événement sommet, l’objectif est ici d’identifier les combinaisons les plus courtes appelées coupes minimales (cf. § “Fondements mathématiques”). 2. La mise en œuvre d’une procédure d’allocation de barrières.
Ce deuxième type d’exploitation qualitatif permet d’allouer un certain nombre de barrières de sécurité (techniques ou d’utilisation) en fonction de la gravité de l’événement redouté et des contraintes normatives éventuelles.
Analyse quantitative : Une étude probabiliste peut avoir deux objectifs :
1. l’évaluation rigoureuse de la probabilité d’occurrence de l’événement redouté ;
2. le tri des scénarios critiques (en partant coupes minimales de plus fortes probabilités).
Ces calculs ne peuvent se concevoir que si chaque événement élémentaire peut être probabilisé à partir d’une loi soigneusement paramétrée et de la connaissance du temps de mission associé à l’événement redouté et/ou à l’aide de données issues du retour d’expérience.
Identification de l’événement redouté L’identification de l’événement redouté (également appelé événement-sommet, événement de tête ou encore racine) est absolument essentielle à l’efficacité et à la pertinence de la méthode.
L’événement redouté correspond le plus souvent à un événement catastrophique en termes humain, environnemental ou économique.
Il peut s’avérer nécessaire parfois de caractériser l’événement redouté pour chacune des missions du système étudié.
Exemples d’événements redoutés : non refroidissement de réacteur nucléaire ;