Вы находитесь на странице: 1из 10

Raffinage & Marketing

RAF/HSE/RT
BP/ PLD/JG/2010/004

Comment évaluer une Gravité en


HAZOP quantifiée

Destinataires

Philippe SAINT-MARTIN Suzanna VANNESTE -PORQUERAS Florent MARTIN


Laurent MARIETTE Jean-François ROCHEFORT Laurent GAUTIER
Pauline BARBAUD Sébastien QUESNEL Stéphanie THEVERIN
Stéphanie HERAUD Sully BOUSQUET Vincent LASSERRE

Copies

Xavier BONTEMPS Georges EDELGA


Christophe DAUX Yves HERMAND
Tristan DEBELLE Franck TANQUEREL

Révisions

Révision Objet Date Relecture


1 Document initial 29/01/2010 RAF/HSE/RT + RAF/TEC

2 Mise à jour 05/04/2010 RAF/HSE/RT + RAF/TEC

3 Mise à jour 29/09/2010 RAF/HSE/RT + RAF/TEC


Comment évaluer une gravité en HAZOP quantifiée

Rév 3

Table des matières

1 - Généralités sur les notions de gravité et de conséquences d'un accident

2 – Objectifs et contraintes d'une revue HAZOP quantifiée

3 – Gravité Sécurité, Environnementale ou CAPEX ?

4 – Exemples

4.1 – Augmentation de pression


4.1.1 - Cas d'une montée progressive de pression jusqu'à la pression de rupture
4.1.2 - Cas d'une montée brutale de la pression au-delà de la pression de rupture
4.1.3 - Cas de l'arrêt d'une pompe de reflux

4.2 – Scénarios de back-flow

4.3 – Phénomènes de corrosion

4.4 – Fours
4.4.1 - Réallumage accidentel dans la radiation d'un four :
4.4.2 - Introduction de liquide dans un off gaz qui rejoint la radiation ou la
convection d'un four
4.4.3 - Envoi de liquide dans le réseau fuel-gas
4.4.4 - Extinction de pilote – four en marche
4.4.5 – Perte de débit process (déviation « no flow »)

4.5 – Fuite à une garniture de pompe suite à une cavitation

4.6 – Installation sous vide

1
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

1 - Généralités sur les notions de gravité et de conséquences d'un accident

La gravité des conséquences d'un accident survenant à la suite d'une déviation process
ou d'une défaillance technique dépend essentiellement :
- du contexte
- des conditions opératoires
- des propriétés physico-chimiques des produits
- des conditions de calcul (pression, température) des équipements concernés

L'analyse de l'accident de Texas City dont la gravité peut-être qualifiée à un niveau 4


soit "catastrophique" sur la base de la matrice DirSec08 peut être vue très
différemment si on modifie le contexte. Par exemple :
- suppression des trailers ou bungalows de chantier des entreprises de maintenance : le
rejet à la soupape conduit à l'apparition d'un nuage dont la probabilité d'ignition est
beaucoup faible (plus de sources d'ignition liées aux moteurs de véhicules ou à la base
de vie) et dont les conséquences potentielles sur les personnes se limitent à la
présence occasionnelle de l'opérateur.
La gravité de l'accident sera à considérer à un niveau 2 (sérieux) si les effets létaux
sont nuls ou s'ils se limitent à une zone sans présence de personnel ou à un niveau 3
(majeur) si le rejet s'effectue dans l'unité proprement dite et peut impacter un
opérateur extérieur.
- raccordement de l'évent à un réseau de torche ou un système de récupération
quelconque : si le système est correctement conçu, l'incident de sur-remplissage de la
colonne n'engendre plus d'effets et a fortiori pas de conséquence.

L'examen de l'accidentologie ou des presqu'accidents montre que les conséquences


d'un même accident pour des causes analogues et dans un contexte analogue peuvent
conduire à des gravités très différentes : cependant, pour les analyses de risques,
même s'il y a une "probabilité" faible pour qu'il ne se passe rien ou que les
conséquences soient maximales, on considérera la situation la plus probable de gravité
intermédiaire.

2 – Objectifs et contraintes d'une revue HAZOP quantifiée.


L'HAZOP quantifiée a pour objectif d'identifier et d'évaluer les risques liés au
fonctionnement d'un process que ce soit en marche normale ou dans des périodes
transitoires.
Alors que la revue "classique" HAZOP se contente d'identifier les risques et de
vérifier qu'il y a des barrières de protection contre ces risques, la quantification
permet de situer le niveau du risque dans une matrice de hiérarchisation
gravité/probabilité et d'en vérifier sa réduction potentielle sur la base des critères
d'acceptabilité du Groupe.
Cette quantification nécessite d'évaluer un niveau de gravité "en l'absence de toutes
barrières préventives ou correctives ou de mitigation". Il est donc essentiel d'imaginer
la séquence accidentelle dans son ensemble et de se positionner sur la pertinence des
conséquences de la déviation en terme de procédé ou de génie chimique de façon à

2
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

faire une estimation juste de la gravité résultante des conséquences sur


l'environnement (personnes, …).
Le principe de l'analyse quantifiée du risque résiduel est, à gravité équivalente,
d'évaluer la probabilité résultante sur la base de valeurs de probabilités de défaillance
des barrières. Si la gravité est surévaluée ou sous-évaluée, l'appréciation du nombre
et/ou de la fiabilité de barrières de protection requises sera faussée.

Par exemple, la relation entre la notion "augmentation de pression" et celle de "perte


de confinement" nécessite une analyse process des conséquences de l'augmentation de
pression. Dans la plupart des cas, cette analyse process, qui nécessite des calculs,
vérifications, éventuellement des études de comportement dynamique, … ne pourra
pas être faite au cours de la revue HAZOP, et devra donc être mise en
« recommandation » de la revue, pour confirmation du seuil de gravité. Cet examen
montre que dans bien des cas, l'augmentation de pression ne se traduit pas
automatiquement par une perte de confinement.
En effet, selon le niveau de pression atteint dans l’équipement considéré, une
déformation élastique, voire une incursion dans le domaine plastique peut être
retenue, sans aboutir à une brèche.

Le paragraphe 4 rassemble différents exemples permettant de faciliter le diagnostic et


une évaluation de la gravité.

3 – Gravité Sécurité, Environnementale ou CAPEX ?

La gravité des évènements peut être évaluée sur des critères de dommages aux
personnes, de dommages à l'environnement et de dommages au matériel.

D'une façon générale, le premier critère visé par une revue HAZOP est le critère
relatif aux dommages aux personnes.
Les conséquences environnementales ne sont considérées que lorsque les niveaux de
gravité sont significatifs et conduiraient à des pollutions externes au site importantes
(Gravités 4 ou 5). En effet, les conséquences sociétales ou financières pour la société
deviennent alors telles que l'environnement devient le critère prépondérant.
A l'inverse, un accident aux personnes même mineur sera toujours prépondérant vis-à-
vis des niveaux de gravité faible à moyenne en terme d'atteinte à l'environnement.

En l'absence de conséquence identifiée sur la sécurité ou l'environnement, l'évaluation


des dommages aux équipements CAPEX est un moyen d'évaluer la gravité d'un
accident.
Il importe de bien distinguer les barrières relevant de la protection du matériel par
rapport à celles nécessitées par des conséquences HSE.
Ainsi que précisé dans le guide GHSE 908, les critères financiers de la dirsec08 ne
peuvent prendre en compte les pertes de production, pertes de marge ou autres OPEX.
Ces derniers relèvent d'autres démarches fiabilistes du type "analyse de la valeur".

3
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

Dans la suite du document, n'est plus considérée que la gravité par rapport aux
dommages aux personnes.

4 – Exemples

4.1 – Augmentation de pression


En Europe, les équipements sous pression sont soumis à la réglementation dite DESP,
d'une part et leur design repose sur des codes de calcul contraignants (CODAP,
ASTM, etc …). Ces codes incluent implicitement les 10% d'accumulation de pression
d'une soupape.
Compte tenu des contrôles réglementaires périodiques et obligatoires, on peut donc
considérer qu'il sera impossible d'observer une perte de confinement pour une
pression inférieure ou égale à la pression d'épreuve (=1.5 x pression de calcul).
Il existe cependant un cas où on pourra être amené à considérer une possibilité de
perte de confinement à la pression opératoire: il s'agit des cas de rupture fragile liée à
l'utilisation du matériau dans des conditions de température très basses et
inappropriées. Ce cas est néanmoins complexe et nécessitera toujours une étude
complémentaire du cas considéré.

Une attention particulière sera portée aux échangeurs dans lesquels on considère des
scénarios de fuite interne et donc de possibilité d'équilibrage : la règle des 2/3 qui
prévalait il y a quelques années a été remplacée par une règle des 10/13 d'origine
ASME.
Plus généralement, lorsqu’un circuit basse pression peut être mis en contact avec un
circuit haute pression, suite à une fuite du circuit haute pression vers le circuit basse
pression, la règle des 10/13 s’applique à l’ensemble du circuit basse pression.
L’application de la règle des 10/13 n’est pas une obligation, mais dans le cas où elle
n’est pas appliquée, le côté basse pression doit être protégé par une soupape sauf si
une vérification hydraulique démontre que le circuit basse pression peut évacuer une
fuite du circuit haute pression.

Les codes de calcul montrent que les équipements chaudronnés sous pression en acier
carbone peuvent subir pendant une courte période une pression allant de 2.5 à 3 fois la
pression de calcul (en barg).
Pour rester conservatif, nous considérerons que la pression maxi en dessous de
laquelle une perte de confinement sera improbable (probabilité quasi-nulle) est égale à
2.5 fois la pression de calcul.
En première approche, on considérera que la probabilité de perte de confinement
évoluera entre 0 et 1 entre 1.5 et 3 fois la pression de calcul.
La taille de la brèche dépendra de la cinétique de montée en pression.
A noter que la pression de rupture d'un équipement chaudronné en acier inox peut être
considérée à 3.5 fois la pression de calcul.
A noter que ce principe n'est applicable que sur les équipements chaudronnés et ne
s'applique pas sur les stockages atmosphériques qui relèvent d'autres codes de
construction.

4
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

Lors des revues HAZOP, il convient donc de vérifier ou de rechercher précisément :


- la pression à débit nul au refoulement d'une pompe ou d'un compresseur en amont de
l'équipement étudié (pression maximale possible = pression de shut-off de la pompe).
- la pression atteinte dans une colonne de distillation par le système de chauffe : un
rebouilleur chauffé par une vapeur de 16 barg ne saura pas fournir une température
supérieure à 200°C.
Il faudra évaluer la pression d'équilibre atteinte dans la colonne et prendre en compte
les aspects thermiques : en effet, le duty transféré par le rebouilleur peut aller jusqu'à
s'annuler au fur et à mesure de la montée en pression, donc de la montée en
température de la colonne.
- la dépression atteinte par une colonne en cas de défaillance de la chauffe et de
maintien des fonctions de condensation en tête (cas des colonnes à condensation
totale)
- la pression résultante du mélange de produits (suite par exemple à une rupture de
tube d'échangeur) pouvant être à l'origine de réactions exothermiques voire
d'emballement.
- la pression résultante après prise en compte des voies physiques existantes
d'évacuation de la pression : par exemple, lors d'une entrée de fluide sous forte
pression dans un système qui respire sur un réseau de fuel-gas ou un réseau torche ou
une cheminée. Si le circuit basse pression peut hydrauliquement évacuer la fuite du
circuit haute pression, le scénario n'aura pas de conséquence. Dans le cas contraire,
l'évaluation de la pression résultante sera nécessaire pour évaluer les conséquences de
l'augmentation de pression.
Cette évaluation doit être effectuée en supposant, bien entendu, aucun moyen de
protection complémentaire comme une soupape.

- Lorsqu’un équipement est équipé de n+1 soupapes (n soupapes en service, 1


soupape en spare), on considère seulement la défaillance d’une seule soupape et non
pas la défaillance simultanée des n soupapes. On calcule alors la pression maximum
atteinte dans le système avec les soupapes qui restent en service, pour la cause
HAZOP considérée, et on la situe par rapport à la pression de calcul de l’équipement
pour en évaluer la gravité.

4.1.1 - Cas d'une montée progressive de pression jusqu'à la pression de rupture


(plus d'une minute)

Le plus souvent, cela conduira à une gravité de niveau 2 car il se produira d'abord une
fuite au niveau d'un joint ou d'un élément de faiblesse de l'équipement (petite brèche).
Si le produit est inflammable et en présence d'une source d'ignition à proximité de la
fuite, cela pourra conduire à un incendie : niveau de gravité G1 "modéré ou G2
"sérieux" suivant la localisation de l'équipement
Si le produit est toxique, cela peut conduire à un niveau de gravité G2 "sérieux" voire
G3 "majeur" en cas de présence humaine à proximité

5
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

4.1.2 – Cas d'une montée brutale de la pression au-delà de la pression de rupture


(Gas Blow by) (de l'ordre de la seconde jusqu'à 1 minute environ)
C'est le cas du Gas Blow by ou bien de l'explosion interne d'un mélange gazeux
inflammable.
On observera une explosion dite pneumatique pouvant conduire à l'arrachage d'un
piquage (brèche moyenne) voire à l'ouverture de l'équipement (rupture complète).
La gravité va dépendre du volume de l'équipement, de sa position dans l'unité, de la
propension à générer des projectiles, des propriétés du produit relaché (toxique ou
inflammable), ainsi que la différence de pression entre équipements dans le cas d'un
Gas Blow by.
La gravité d'un tel scénario sera à considérer comme "majeur" soit G3 voire
"catastrophique" soit G4.

4.1.3 - Cas de l'arrêt d'une pompe de reflux


On n'observera une augmentation de pression dans la colonne de distillation
susceptible de conduire à une perte de confinement seulement si :
- la pompe assure les 2 fonctions reflux et production
et
- le temps de séjour dans le ballon de reflux est faible et conduit rapidement à noyer le
condenseur et perdre la condensation
et
- le niveau de pression atteint par la chauffe du rebouilleur dépasse largement la
pression de rupture de la colonne de distillation (voir commentaires faits
précédemment).
La gravité d'un tel évènement à supposer que toutes ces conditions soient réunies ne
dépassera pas un niveau de gravité "majeur" soit G3. Si une des condition n'est pas
présente, la gravité de l'incident sera faible voire nulle.

4.2 – scénarios de back-flow


Le retour de produit à travers une pompe multi-étagée peut en l'absence de toutes
barrières, d'après les spécialistes, conduire à un dévirage pendant quelques minutes
avant la casse du matériel et, constituer, par conséquent, un sérieux frein à
l'écoulement.
La gravité d'un tel incident ne dépassera pas un niveau de gravité "modéré" soit G1
voire "sérieux" soit G2 dans des cas très spécifiques.

Le retour de produit à travers une pompe doseuse (introduction de produit inhibiteur


ou autre) doit être considéré comme très fortement improbable du fait de la
conception générale des pompes doseuses ; de plus, les dimensions des tuyauteries
sont généralement fort modestes, justifiant d'autant plus l'occurrence de petites
brèches aux effets limités.

6
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

4.3 – Phénomènes de corrosion


A l'exception de phénomènes de corrosion très rapides liés à la présence d'hydrogène
dans certaines conditions de pression et température ou de produits très corrosifs
comme l'H2SO4 dilué, l'HCL en solution ou l'HF en solution, la plupart des
phénomènes de corrosion observés au raffinage sont des phénomènes lents pour
lesquels les barrières "ronde opérateurs" ou "service inspection" sont pertinentes. Si
l'équipement est visible (sans calorifuge, au-dessus du niveau du sol, etc …); la
détection peut être considérée suffisamment rapidement pour être assimilée à un trou
de faible dimension – par exemple 5 mm qui est le diamètre préconisé dans HSE SRD
004 : Dans ce cas, le niveau de gravité n'excédera pas "sérieux" soit G2.
D'une façon générale, lorsque les phénomènes de corrosion sont lents, la revue
HAZOP est utile pour identifier et localiser le scénario. Le scénario sera traité soit de
façon générique dans la partie "risques liés aux produits" de sorte à établir des règles
de design, soit dans l'analyse détaillée des risques (comme pour les causes d'agression
et rupture de tuyauterie ou d'équipement).

4.4 – Fours

4.4.1 - Réallumage accidentel dans la radiation d'un four :


Le phénomène physique s'appelle explosion interne ou explosion en milieu confiné (et
non UVCE) et conduit à une augmentation de pression suite à l'inflammation
soudaine de l'atmosphère inflammable ; Dans la mesure, où l'analyse identifie une
possibilité d'explosion dans la radiation qui est au niveau du sol, la possibilité de
projections peut conduire à une gravité de 3 "majeur" maximum du fait de la présence
probable d'un opérateur à proximité.
Si l'explosion a lieu dans la zone de convection – en général en hauteur – la gravité
sera considérée à un niveau 2 "sérieux"

4.4.2 - Introduction de liquide dans un off gaz qui rejoint la radiation ou la convection
: Par comparaison à la taille et au duty du four sans commune mesure, la gravité à
considérer sera "modéré" soit G1 – voire "sérieux" soit G2 au maximum.

4.4.3 - Envoi de liquide dans le réseau fuel-gas


(suite au débordement d'un ballon de reflux de débutaniseur ou dépropaniseur d'un
gas plant) : la gravité en terme de sécurité sera considérée à un niveau maximum
"sérieux" soit G2 ; cet évènement peut conduire à endommager le four sans incidence
sur les individus.
Le niveau de gravité peut être ramené à G1 lorsque le réseau fuel gas est équipé de
ballons de fuel gas où les condensats sont piégés (ce qui est le schéma classique d’un
réseau fuel gas de raffinerie), ou si les unités alimentées en fuel gas sont équipées de
ballons de fuel gas (ce qui est souvent le cas).

4.4.4 - Extinction de pilote – four en marche :


C'est un évènement sans impact en terme de gravité.

7
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

4.4.5 – Perte de débit process (déviation « no flow »)

Dans le cas où le four n'a pas été arrêté ou si l'inertie thermique du four reste
importante (cas des brûleurs de parois), la perte du débit process va entraîner
rapidement une détérioration des tubes, dont les conséquences premières vont être des
perçages. Le niveau de gravité en terme de sécurité est "modéré" soit G1 (on pourra
considérer un niveau de gravité "sérieux" soit G2 pour les fours de boucles
réactionnelles haute pression).

4.5 – Fuite à une garniture de pompe suite à une cavitation

Le dommage à une pompe dépend de beaucoup d'évènements


Une pompe qui tourne à 1500 tours/minute sera beaucoup plus robuste qu'une pompe
tournant à 3000 tours par minute et pourra supporter sans dommage une cavitation.

La gravité liée à un dommage va dépendre de la localisation de la pompe, de la


dangerosité du produit véhiculé.
Une fuite à la garniture d'une pompe véhiculant du brut "froid" (avant dessaleur par
exemple) s'enflamme par expérience difficilement : on considérera une gravité de
niveau "modéré" soit G1 au maximum.
Une fuite à la garniture d'un produit véhiculé en dessous de son point d'éclair ne
s'enflammera pas : on ne considérera pas de gravité en terme de sécurité;
Une fuite à la garniture d'un produit véhiculé au dessus de son point d'éclair peut
conduire en présence d'une source d'ignition à un incendie : suivant la localisation de
la pompe (zone dégagée= en bordure d'unité ou dans le tank farm, zone encombrée =
au milieu d'une unité de production), la gravité sera de niveau "modéré" soit G1 ou de
niveau "sérieux" soit G2.
La gravité d'une fuite à la garniture d'une pompe de LPG va dépendre beaucoup de la
localisation de cette pompe et du confinement à l'entour.
En zone dégagée (tank farm), on considérera un niveau de gravité "sérieux" soit G2.
En zone encombrée (unité), on considérera un niveau de gravité "majeur" soit G3

4.6 – Installation sous vide


L'entrée d'air est susceptible de générer une zone inflammable interne qui, en présence
d'une source d'ignition pourrait générer une explosion en milieu confiné ; en première
approche, la pression absolue d'un système fermé est multipliée au maximum par 8
(correspondant à la stoechiométrie) lors de l'inflammation de la phase gazeuse
inflammable.
On considérera que cette inflammation se produit à la stoechiométrie. L'expérience et
l'étude de l'évolution de la concentration dans l'équipement montre que l'atteinte de
cette concentration stoechiométrique se produit alors que la tuyauterie ou
l'équipement est encore sous vide.
Exemple : pour une pression initiale de 0.1 bar abs, la concentration stoechiométrique
peut être atteinte aux alentours de 0.5 bar abs et la pression résultante suite à
l'inflammation de la phase gazeuse serait de 4 bars abs soit 3 barg. En général un

8
Comment évaluer une gravité en HAZOP quantifiée

Rév 3

équipement conçu pour tenir au vide a des pressions de calcul qui sont largement
supérieures à cet ordre de grandeur. D'un point de vue sécurité, il s'agira donc d'un
évènement sans impact en terme d'effets.