ANALYSE PAR ARBRE DE PANNE

L’arbre de panne est une représentation graphique structurée des conditions ou des facteurs pouvant mener à un événement indésirable, appelé événement de tête (ou événement redouté). Il permet d’identifier et d’analyser :

• les facteurs influençant la fiabilité et le fonctionnement du système (ex. : modes de panne des composantes, erreurs humaines, conditions ambiantes, erreurs dans le logiciel) 
• les incompatibilités entre les exigences ou les spécifications 
• les événements communs pouvant affecter plusieurs composantes fonctionnelles et compromettre le bénéfice des redondances spécifiques

L’analyse par arbre de panne (AAP) est essentiellement une méthode d’analyse déductive, qui peut être utilisée de manière qualitative ou quantitative selon les objectifs de l’analyse et la disponibilité des données.

Objectifs

L’AAP est utilisée, seule ou combinée à d’autres analyses, pour :

• identifier les causes et les combinaisons de causes menant à l’événement de tête
• vérifier la conformité des caractéristiques de fiabilité aux exigences
• vérifier les hypothèses issues d’autres analyses (concernant notamment l’indépendance des systèmes)
• identifier les facteurs ayant le plus d’impact sur la fiabilité et déterminer les améliorations à apporter
• identifier les événements communs ou les défaillances de cause commune

Applications de l'arbre de panne

L’arbre de panne est particulièrement adapté à l’analyse de systèmes complexes constitués de plusieurs sous-systèmes dépendants ou interconnectés ou encore lorsque la conception du système implique la collaboration de nombreuses équipes de concepteurs spécialisés. Il est largement utilisé dans des domaines tels que les centrales nucléaires, l’aéronautique, les systèmes de communication et les procédés chimiques.

Principes et ressources requises

La construction de l’arbre de panne débute préférablement dès les premières phases de conception afin de mieux comprendre l’évolution des modes de panne. Les événements considérés ne se limitent pas aux pannes matérielles ou logicielles, mais incluent toute condition ou tout facteur pouvant contribuer à l'événement de tête.

L'utilisation de l'arbre de panne repose sur les étapes suivantes :

• définir la portée de l'analyse
• comprendre le système (conception, fonctions, fonctionnement)
• définir l'événement de tête
• construire l'arbre de panne
• analyser sa logique
• documenter les résultats (rapport)

Si une analyse quantitative est envisagée, définir la technique d’évaluation numérique, choisir les données et effectuer le calcul des caractéristiques de fiabilité

La définition du système doit inclure :

• les objectifs de conception
• les limites et interfaces (électriques, mécaniques, fonctionnelles)
• la structure matérielle
• la description des modes de fonctionnement et de leurs performances attendues
• les conditions relatives à l’environnement et aux aspects humains
• la liste des documents de référence (plans, spécifications, manuels, procédures, etc.), incluant les paramètres de conception et d’exploitation (durée de mission, maintenance, ressources)
• les symboles utilisés

Tous les événements susceptibles de contribuer à l’événement de tête doivent être rapportés sur l’arbre de panne, y compris ceux liés à l’environnement, aux erreurs humaines et aux défaillances logicielles, même s’ils ne sont pas explicitement prévus à la conception. Les événements analysés mais écartés sont documentés sans être reportés sur l’arbre. Si l’arbre révèle un problème dû à une panne existante, il est inclus et identifié comme tel afin d’analyser les effets et l’ordre de pannes multiples.

L’arbre de panne est construit de manière déductive, à partir de l’événement de tête vers ses causes. Chaque événement peut être décomposé en événements intermédiaires jusqu’à atteindre :

• des événements de base (indépendants et caractérisables) 
• des événements jugés suffisamment développés
• des événements développés dans d’autres arbres de panne (avec un lien explicite entre eux)

Les relations logiques entre événements traduisent des défaillances fonctionnelles, matérielles ou des pertes de performance.

La réalisation d’une AAP nécessite une connaissance détaillée du système (fonctionnement, plans, procédures d’exploitation et de maintenance) et une compréhension des modes de panne de ses composantes.

L’analyste doit être familier avec la méthode d’analyse par mode de panne et avoir accès à une équipe d’experts. L’effort pour réaliser l’AAP est proportionnel à la complexité du système.
 

Avantages et inconvénients

Résultat de l'application

L’AAP aboutit à une représentation détaillée de l’entité, comprenant :

• les facteurs influençant la fiabilité et les caractéristiques fonctionnelles du système
• les incompatibilités entre les exigences ou les spécifications
• les événements communs ayant une incidence sur plusieurs composantes fonctionnelles

Le rapport sur l’AAP comprend au moins les éléments suivants :

• l’objectif et le domaine d’application
• la description du système (conception, fonctionnement, limites)
• les hypothèses:
  • relatives à la conception
  • se rapportant aux contrôles, à la maintenance et au fonctionnement 
  • pour les modèles de fiabilité et de disponibilité
• la définition et les critères de panne du système
• l’AAP (analyse, données, symboles utilisés)
• les résultats et les conclusions
   

Procédure

L’AAP se déroule en 4 étapes qui peuvent légèrement varier en fonction du système étudié.

1. Définir la portée de l’analyse

La portée doit préciser :

• le système à analyser 
• l’objectif et l’étendue de l’analyse 
• les hypothèses de base, incluant celles concernant les conditions de fonctionnement, d’utilisation et de maintenance du système

2. Approfondir la connaissance du système

Une compréhension approfondie du système est essentielle. Pour les systèmes complexes, cette connaissance est généralement acquise par une équipe multidisciplinaire, afin d’intégrer les expertises pertinentes à l’analyse.

3. Déterminer l’événement de tête

L’événement de tête constitue le point central de l’analyse. Il correspond généralement à une condition dangereuse ou à une défaillance du système. Il doit être défini de façon claire et, lorsque possible, en termes mesurables.

4. Construire l’arbre de panne

L’arbre est construit à l’aide de symboles normalisés (événements, portes logiques, liens, reports, etc.) pour représenter les relations entre causes et effets et selon les principes suivants :

• L’événement de tête se produit selon des combinaisons d’événements intermédiaires reliés par des portes logiques.
• Dans une analyse quantitative, les probabilités peuvent être calculées en utilisant l’algèbre de Boole.
• Les événements correspondant à une cause commune sont représentés sous forme d’ensemble d’événements liés, possédant le même code et désignés par un symbole de report.
• Dans le cas d’arbres multiples, les événements communs sont détaillés une seule fois et référencés ailleurs par des symboles de report.

SYMBOLE	FONCTION	DESCRIPTION
	Libellé de l’événement	Contient le nom ou la description de l’événement et si requise, sa probabilité
	Événement de base	Événement ne pouvant pas être subdivisé
	Porte ET	L’événement de sortie se produit si tous les événements d’entrée surviennent simultanément
	Porte OU	L’événement se produit si au moins un des événements d’entrée se produit
	Porte Priorité ET	L'événement de sortie se produit si tous les événements d’entrée se produisent dans un ordre déterminé
	Porte OU exclusif	L'événement de sortie se produit si un seul des événements d'entrée survient

Exemples de symboles couramment utilisés

La construction, effectuée de façon systématique, est fondée sur 2 concepts clés : la cause immédiate et l’unité de base.

Pour chaque événement, les causes immédiates, nécessaires et suffisantes menant à cet événement (et non les causes de base) sont identifiées et placées sous l’événement analysé. Le processus débute par l’événement de tête puis est répété en descendant dans l’arbre. L’analyse progresse ainsi de manière déductive en affinant les mécanismes et les modes de panne jusqu’au niveau souhaité.

L’unité de base est un élément dont l’analyse n’est plus décomposée pour éviter une complexité inutile. Une unité est considérée de base si elle remplit les trois conditions suivantes : 

• ses limites fonctionnelles et matérielles sont clairement définies
• son fonctionnement est indépendant, ou les événements se rapportant à l’unité sont représentés par une seule porte logique
• elle n’est pas déjà représentée ailleurs dans l’arbre
   

Exemples d'une AAP

Contexte: Système constitué d’une ampoule fonctionnant sur batterie, dont la mise en action est commandée à l’aide d’un bouton-poussoir. L’événement de tête est la lampe qui ne s’allume pas.

Ressources

LIENS ET RÉFÉRENCES DE L'ORDRE

• Aide-mémoire de l'AAP
  • version en ligne interactive 
  • version pdf

LIENS ET RÉFÉRENCES EXTERNES

• CEI/IEC 61025, Analyse par arbre de panne, Commission électrotechnique internationale, 2006
• Arbres de défaillance, des causes et d’événement, Techniques de l’ingénieur, Réf. : SE4050 V1, avril 2017
• Guidelines for Hazard Evaluation Procedures, Third Edition, American Institute of Chemical Engineers, 2008
• Norme ISO 31010