MODULE 56 · CURSUS MARS AVANCÉ · COMPRENDRE, CALCULER, VÉRIFIER.

Sécurité industrielle: risques chimiques, pression et permis de travail

Équipage intervenant face à un incendie industriel dans un habitat martien. — Visualisation conceptuelle — la sûreté industrielle associe prévention, barrières indépendantes, isolement, détection, réponse d’urgence et récupération contrôlée.

Prévenir l’incident lors des opérations de maintenance, des procédés chimiques, des travaux chauds et des interventions sur systèmes sous énergie ou pression.

Le problème à résoudre

Question de départ. Comment organiser une intervention sur un système chimique, pressurisé ou énergisé pour que la maintenance ne déclenche pas l’accident qu’elle cherche à éviter ?

Intuition. HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.

Repère concret. HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.

CARTE DE MAÎTRISE · MODULE 56

Quatre repères à maîtriser — Sécurité industrielle: risques chimiques, pression et permis de travail

Comprendre le problème avant les équations

Définition: Avant de chiffrer un permis de travail, l’équipe distingue le danger présent, l’exposition possible et les barrières qui empêchent le scénario accidentel.
Intuition ou cas concret: Le calcul sert à montrer qu’une intervention ne commence qu’après fermeture de toutes les barrières nécessaires, pas à compresser artificiellement la préparation.
Repère quantitatif: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Limite ou critère de vigilance: La durée minimale n’est jamais un objectif à battre: si l’isolement, les vérifications indépendantes ou les mesures d’atmosphère exigent plus de temps, la sécurité prime sur le planning.

Exercice guidé — Comprendre le problème avant les équations

Examinez « Comprendre le problème avant les équations » à partir du repère suivant : HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone. Expliquez ce que vous vérifiez, comment vous interprétez le résultat et quelle décision en découle. Testez ensuite la robustesse de cette décision avec la limite suivante : La durée minimale n’est jamais un objectif à battre: si l’isolement, les vérifications indépendantes ou les mesures d’atmosphère exigent plus de temps, la sécurité prime sur le planning.

Corrigé raisonné — Comprendre le problème avant les équations

Point de départ: Avant de chiffrer un permis de travail, l’équipe distingue le danger présent, l’exposition possible et les barrières qui empêchent le scénario accidentel.
Indice du cas: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Réserve à appliquer: La durée minimale n’est jamais un objectif à battre: si l’isolement, les vérifications indépendantes ou les mesures d’atmosphère exigent plus de temps, la sécurité prime sur le planning.
Conclusion: Le calcul sert à montrer qu’une intervention ne commence qu’après fermeture de toutes les barrières nécessaires, pas à compresser artificiellement la préparation.

Étude de cas calculée: durée minimale d’une préparation de permis de travail

Définition: Le cas pédagogique additionne cinq isolements à 4 min, deux vérifications à 6 min et 15 min de mesures: chaque terme correspond à une action de sécurité distincte.
Intuition ou cas concret: Le temps minimal du scénario vaut 5×4 + 2×6 + 15 = 47 min avant toute marge ou anomalie; démarrer plus tôt signifie qu’au moins une barrière prévue n’a pas été réalisée.
Repère quantitatif: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Limite ou critère de vigilance: Ces durées ne sont pas universelles; elles représentent un scénario. Une source supplémentaire, une mesure anormale ou une vérification non indépendante doit prolonger la préparation.

Exercice guidé — Étude de cas calculée: durée minimale d’une préparation de permis de travail

Dans le cas « Étude de cas calculée: durée minimale d’une préparation de permis de travail », servez-vous de ce repère : HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone. Présentez le contrôle à effectuer, la marge à surveiller et la décision qui en résulte. N’acceptez la conclusion qu’après avoir pris en compte cette contrainte : Ces durées ne sont pas universelles; elles représentent un scénario. Une source supplémentaire, une mesure anormale ou une vérification non indépendante doit prolonger la préparation.

Corrigé raisonné — Étude de cas calculée: durée minimale d’une préparation de permis de travail

Point de départ: Le cas pédagogique additionne cinq isolements à 4 min, deux vérifications à 6 min et 15 min de mesures: chaque terme correspond à une action de sécurité distincte.
Indice du cas: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Réserve à appliquer: Ces durées ne sont pas universelles; elles représentent un scénario. Une source supplémentaire, une mesure anormale ou une vérification non indépendante doit prolonger la préparation.
Conclusion: Le temps minimal du scénario vaut 5×4 + 2×6 + 15 = 47 min avant toute marge ou anomalie; démarrer plus tôt signifie qu’au moins une barrière prévue n’a pas été réalisée.

Mini-projet

Définition: Le mini-projet doit transformer l’analyse de risque en procédure exécutable: responsables, isolements, mesures, seuils d’arrêt, autorisation et remise en service doivent être explicités.
Intuition ou cas concret: La validation porte donc sur la capacité à exécuter et vérifier chaque barrière dans le monde réel, y compris lors d’une mesure anormale ou d’une indisponibilité d’équipement.
Repère quantitatif: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Limite ou critère de vigilance: Une procédure valide sur papier échoue si les points de mesure, les responsabilités ou les critères de reprise ne sont pas réalisables avec l’équipement et l’effectif disponibles.

Exercice guidé — Mini-projet

Pour maîtriser « Mini-projet », reliez le raisonnement à ce repère : HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone. Dites ce qu’il prouve réellement, ce qu’il ne prouve pas et la décision que vous prendriez. La réponse doit intégrer cette limite : Une procédure valide sur papier échoue si les points de mesure, les responsabilités ou les critères de reprise ne sont pas réalisables avec l’équipement et l’effectif disponibles.

Corrigé raisonné — Mini-projet

Point de départ: Le mini-projet doit transformer l’analyse de risque en procédure exécutable: responsables, isolements, mesures, seuils d’arrêt, autorisation et remise en service doivent être explicités.
Indice du cas: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Réserve à appliquer: Une procédure valide sur papier échoue si les points de mesure, les responsabilités ou les critères de reprise ne sont pas réalisables avec l’équipement et l’effectif disponibles.
Conclusion: La validation porte donc sur la capacité à exécuter et vérifier chaque barrière dans le monde réel, y compris lors d’une mesure anormale ou d’une indisponibilité d’équipement.

Danger, exposition et risque

Définition: Un danger est une propriété capable de causer un dommage; l’exposition décrit le contact avec ce danger; le risque combine scénario, probabilité et gravité des conséquences.
Intuition ou cas concret: La décision de travail doit donc agir sur le scénario réel: supprimer le danger si possible, sinon empêcher l’exposition puis vérifier que les barrières résiduelles sont suffisantes.
Repère quantitatif: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Limite ou critère de vigilance: Réduire l’exposition peut réduire le risque sans supprimer le danger; inversement, un danger présent mais totalement isolé ne produit pas le même niveau de risque opérationnel.

Exercice guidé — Danger, exposition et risque

Traitez « Danger, exposition et risque » comme une décision à justifier. Le repère de contrôle est : HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone. Expliquez son emploi, puis concluez en indiquant la marge ou le seuil qui vous ferait changer d’avis. Vérifiez aussi cette limite : Réduire l’exposition peut réduire le risque sans supprimer le danger; inversement, un danger présent mais totalement isolé ne produit pas le même niveau de risque opérationnel.

Corrigé raisonné — Danger, exposition et risque

Point de départ: Un danger est une propriété capable de causer un dommage; l’exposition décrit le contact avec ce danger; le risque combine scénario, probabilité et gravité des conséquences.
Indice du cas: HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.
Réserve à appliquer: Réduire l’exposition peut réduire le risque sans supprimer le danger; inversement, un danger présent mais totalement isolé ne produit pas le même niveau de risque opérationnel.
Conclusion: La décision de travail doit donc agir sur le scénario réel: supprimer le danger si possible, sinon empêcher l’exposition puis vérifier que les barrières résiduelles sont suffisantes.

Pour aborder « Sécurité industrielle: risques chimiques, pression et permis de travail », les prérequis conseillés sont modules 00 à 52 selon le sujet. Pour « Sécurité industrielle: risques chimiques, pression et permis de travail », une notation technique n’est utilisée qu’après avoir été reliée à son sens physique ou opérationnel.

Objectifs de maîtrise

Reconstruire avec ses propres mots le mécanisme étudié dans « Une colonie est aussi un site industriel ».
Vérifier par un ordre de grandeur le résultat utilisé dans « Identifier toutes les formes d’énergie ».
Proposer un contrôle indépendant avant de conclure sur « Permis de travail ».
Justifier une action de mission à partir des limites observées dans « Atmosphères dangereuses ».

1. Une colonie est aussi un site industriel

Pompes, réservoirs, batteries, fours, machines-outils, gaz comprimés, solvants et procédés ISRU créent des risques comparables à ceux d’un site industriel terrestre, avec une différence majeure: l’évacuation et l’intervention extérieure sont presque inexistantes. La prévention doit donc réduire la probabilité de l’événement et limiter sa propagation avec les moyens disponibles localement.

2. Identifier toutes les formes d’énergie

Avant maintenance, il faut regarder au-delà de l’électricité: pression hydraulique ou pneumatique, ressorts, gravité, chaleur, rotation, chimie, batteries et énergie stockée dans un condensateur peuvent rester dangereuses après arrêt de la commande principale. La consignation identifie chaque source, l’isole, dissipe l’énergie résiduelle puis vérifie réellement l’état sûr.

3. Permis de travail

Certaines tâches nécessitent une autorisation structurée: travail chaud, entrée dans volume confiné, ouverture d’une ligne chimique, intervention haute énergie ou contournement d’une protection. Le permis décrit lieu, tâche, isolements, mesures, équipements de protection, durée et conditions d’arrêt. Il cesse d’être valide si la configuration change.

4. Atmosphères dangereuses

Un volume peut devenir dangereux par manque d’oxygène, enrichissement en oxygène, gaz toxique ou vapeur inflammable. La mesure doit être faite avec un capteur adapté et étalonné, au bon endroit. Une valeur prise près d’une trappe ne garantit pas que toute la cavité est sûre. La ventilation est vérifiée avant et pendant l’intervention lorsque le risque l’exige.

5. Travail chaud et incendie

Soudage, meulage ou opération générant une surface chaude peut enflammer poussières, polymères ou vapeurs. Le permis impose nettoyage de la zone, retrait ou protection des combustibles, surveillance, moyen d’extinction et contrôle après la fin du travail. Dans un habitat pressurisé, la composition atmosphérique et la ventilation ajoutent des contraintes spécifiques.

6. Produits chimiques et incompatibilités

La sécurité ne repose pas seulement sur l’étiquette. On sépare oxydants, combustibles, acides, bases et produits réactifs; on prévoit rétention et ventilation; on connaît les produits de décomposition possibles. Un déversement dans une petite base peut contaminer l’air, l’eau et les surfaces, donc le scénario de récupération doit être défini avant stockage.

7. Machines et zones de mouvement

Robot, tour, fraiseuse, bras de manutention ou véhicule autonome créent des risques de coincement et d’écrasement. Les zones dangereuses sont matérialisées et les modes maintenance réduisent vitesse et énergie lorsque possible. Un arrêt d’urgence ne remplace pas une architecture empêchant une remise en mouvement inattendue.

8. Remise en service contrôlée

La fin de maintenance est une phase de risque. On vérifie outils retirés, protections remises, vannes dans la bonne configuration, capteurs connectés et personnel hors zone. La remise sous énergie peut être progressive avec surveillance renforcée. Une réparation techniquement correcte mais remise en service sans contrôle peut déclencher une nouvelle panne.

Approfondissement: permis et charge cognitive

Un permis trop long et générique devient un rituel. Il doit faire apparaître les quelques risques réellement capables de tuer ou de dégrader la base, ainsi que les vérifications correspondantes. Les listes sont adaptées à la tâche et à la configuration. Le but est d’aider l’opérateur à penser, pas de lui faire signer une preuve administrative.

Approfondissement: barrière indépendante

Deux barrières ne sont pas indépendantes si la même panne peut les supprimer. Une alarme logicielle et une coupure logicielle alimentées par le même contrôleur ne constituent pas forcément deux niveaux de protection. L’analyse recherche la diversité: mécanique, électrique, procédure, géométrie et surveillance humaine peuvent se compléter.

9. Exemple calculé: énergie pneumatique

Un réservoir de service contient 0,12 m³ de gaz à 600 kPa absolus. Une ligne aval doit être ouverte pour maintenance. Même sans détailler toute la thermodynamique, le volume et la pression montrent qu’il ne suffit pas de fermer une vanne amont: il faut isoler, purger jusqu’à une pression sûre puis vérifier la mesure avant ouverture. Le calcul de pression résiduelle et la vérification physique appartiennent au permis.

Étude de cas calculée: durée minimale d’une préparation de permis de travail

HYPOTHÈSE PÉDAGOGIQUE — Une intervention exige l’isolement de 5 sources d’énergie à 4 min chacune, deux vérifications indépendantes de 6 min chacune et 15 min de mesures d’atmosphère et de zone.

On note N le nombre de sources; t_i le temps d’isolement par source, en minutes; n_v le nombre de vérifications; t_v leur durée; t_m la durée des mesures; T la durée totale de préparation.

T = N × t_i + n_v × t_v + t_m = 5 × 4 + 2 × 6 + 15 = 20 + 12 + 15 = 47 min.

Les 47 minutes sont un modèle administratif pédagogique, pas un délai réglementaire. Elles rappellent qu’un permis sûr consomme du temps avant même que le travail technique commence.

10. Exercice

Préparer un permis de travail pour remplacer une pompe sur une ligne d’oxydant sous pression. Identifier au moins six dangers, les isolements, le contrôle atmosphérique, les équipements de protection et la séquence de remise en service.

11. Solution raisonnée

La ligne est arrêtée, isolée de part et d’autre si possible, dépressurisée vers une destination sûre, rincée ou inertée selon le produit, puis vérifiée. Les sources électriques et mécaniques de la pompe sont consignées. La zone est contrôlée et la remise en service se fait progressivement avec recherche de fuite. Toute étape doit être attribuée à une personne identifiable.

12. Mini-projet

Créer le système de permis de travail de la colonie avec quatre catégories: énergie/pression, chimie, travail chaud et volume confiné. Pour chaque catégorie, définir déclencheurs, mesures obligatoires, signataires, durée de validité, conditions d’arrêt et archivage pour retour d’expérience.

Approfondissement du module 56: comprendre, calculer, vérifier et décider

Objectif du module — comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

1. Danger, exposition et risque

Dans ce module, danger, exposition et risque sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Risque_score = Probabilité × Conséquence

Question de départ: Quel produit faut-il former pour calculer Risque_score au passage «1. Danger, exposition et risque»?
Lecture à voix haute: Formule lue sans abréviation: «Risque indice score égale Probabilité multiplié par Conséquence».
Symboles, prononciation et sens: Risque_score («Risque score»): score de risque obtenu en combinant probabilité et conséquence; Probabilité («Probabilité»): probabilité de l’événement analysé, comprise entre 0 et 1; Conséquence («Conséquence»): niveau de gravité associé à l’événement selon l’échelle du module
Unités: Risque score → sans dimension, sur l’échelle définie; Probabilité → sans dimension [0;1]; Conséquence → sans dimension, sur l’échelle définie.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission. Le passage documente comme provenance: les probabilités, conséquences, barrières et heures de travail.
Pourquoi cette opération: La relation met en chaîne les facteurs contenus dans Probabilité × Conséquence; on les multiplie pour former Risque_score. Le contrôle d’unités doit retrouver la dimension annoncée à gauche.
Substitution et calcul: Avant la multiplication, écrire la valeur et l’unité de chaque facteur de Probabilité × Conséquence. Les conversions sont effectuées avant de former Risque_score.
Saisie sur calculatrice: Après les conversions, entrer les facteurs de Probabilité × Conséquence avec la touche de multiplication; relire les parenthèses avant de valider le calcul de Risque_score.
Estimation mentale: Pour un contrôle mental, simplifier les facteurs de Probabilité × Conséquence sans changer leurs unités, puis multiplier ces valeurs grossières afin d’estimer Risque_score.
Contrôle indépendant: Contrôle indépendant — Choisir un facteur mesuré de Probabilité × Conséquence; former le produit de tous les autres, puis vérifier que Risque_score divisé par ce produit restitue le facteur choisi.
Interprétation physique ou opérationnelle: Au passage «1. Danger, exposition et risque», «Risque_score = Probabilité × Conséquence» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: Autrement dit, chaque facteur de Probabilité × Conséquence multiplie la contribution des autres; la quantité finale s’appelle Risque_score.
Variation / sensibilité: Le sens de variation est direct pour un facteur positif: augmenter ce terme de Probabilité × Conséquence augmente Risque_score; l’effet relatif est identique dans un produit simple.
Limite / hypothèse: La multiplication directe n’est justifiée que dans la frontière de «1. Danger, exposition et risque». Hors de ce domaine, un facteur de Probabilité × Conséquence peut cesser d’agir proportionnellement sur Risque_score.

2. Hiérarchie des barrières

Dans ce module, hiérarchie des barrières sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Risque_résiduel = Risque_initial × Π(1 - e_i)

Question de départ: Quel produit faut-il former pour calculer Risque_résiduel au passage «2. Hiérarchie des barrières»?
Lecture à voix haute: Formule lue sans abréviation: «Risque indice résiduel égale Risque indice initial multiplié par pi majuscule (1 - e indice i)».
Symboles, prononciation et sens: Risque_résiduel: score de risque restant après les barrières; Risque_initial: score avant barrières sur la même échelle; e_i: efficacité fractionnaire de la barrière i; Π: produit de tous les facteurs (1−e_i).
Unités: Risque_initial et Risque_résiduel utilisent la même échelle de score; chaque e_i et chaque 1−e_i sont sans dimension. Le produit ne change pas l’échelle du score.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission. Le passage documente comme provenance: les probabilités, conséquences, barrières et heures de travail.
Pourquoi cette opération: Chaque facteur 1−e_i représente la fraction de risque restant après une barrière selon ce modèle multiplicatif; Π combine ces fractions puis les applique au risque initial.
Substitution et calcul: Avant la multiplication, écrire la valeur et l’unité de chaque facteur de Risque_initial × Π(1 - e_i). Les conversions sont effectuées avant de former Risque_résiduel.
Saisie sur calculatrice: Après les conversions, entrer les facteurs de Risque_initial × Π(1 - e_i) avec la touche de multiplication; relire les parenthèses avant de valider le calcul de Risque_résiduel.
Estimation mentale: Pour un contrôle mental, simplifier les facteurs de Risque_initial × Π(1 - e_i) sans changer leurs unités, puis multiplier ces valeurs grossières afin d’estimer Risque_résiduel.
Contrôle indépendant: Avec une seule barrière e, le résultat doit être Risque_initial(1−e). Si toutes les efficacités valent zéro, Risque_résiduel doit égaler Risque_initial.
Interprétation physique ou opérationnelle: Au passage «2. Hiérarchie des barrières», «Risque_résiduel = Risque_initial × Π(1 - e_i)» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: Autrement dit, chaque facteur de Risque_initial × Π(1 - e_i) multiplie la contribution des autres; la quantité finale s’appelle Risque_résiduel.
Variation / sensibilité: Le sens de variation est direct pour un facteur positif: augmenter ce terme de Risque_initial × Π(1 - e_i) augmente Risque_résiduel; l’effet relatif est identique dans un produit simple.
Limite / hypothèse: La multiplication directe n’est justifiée que dans la frontière de «2. Hiérarchie des barrières». Hors de ce domaine, un facteur de Risque_initial × Π(1 - e_i) peut cesser d’agir proportionnellement sur Risque_résiduel.

3. Énergies dangereuses et isolement conceptuel

Dans ce module, énergies dangereuses et isolement conceptuel sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Complétude_isolement = N_isolations_vérifiées / N_isolations_requises

Question de départ: Comment déterminer Complétude_isolement à partir du numérateur N_isolations_vérifiées et de la référence N_isolations_requises dans «3. Énergies dangereuses et isolement conceptuel»?
Lecture à voix haute: Formule lue sans abréviation: «Complétude indice isolement égale N indice isolations indice vérifiées divisé par N indice isolations indice requises».
Symboles, prononciation et sens: Complétude_isolement: fraction des éléments requis qui ont été validés; N_isolations_vérifiées: nombre validé; N_isolations_requises: nombre total requis.
Unités: N_isolations_vérifiées et N_isolations_requises sont des comptes; Complétude_isolement sans dimension entre 0 et 1.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission.
Pourquoi cette opération: Le quotient rapporte le nombre validé au nombre requis.
Substitution et calcul: Aucune valeur nouvelle n’est requise: préparer N_isolations_vérifiées, préparer N_isolations_requises dans un référentiel compatible, et effectuer la division prévue par «Complétude_isolement = N_isolations_vérifiées / N_isolations_requises».
Saisie sur calculatrice: Fermer toutes les parenthèses contenues dans N_isolations_vérifiées et N_isolations_requises avant la division finale; contrôler que l’écran représente bien (N_isolations_vérifiées)/(N_isolations_requises).
Estimation mentale: Une estimation rapide consiste à écrire N_isolations_vérifiées≈10^m et N_isolations_requises≈10^n; leur quotient est alors de l’ordre de 10^(m−n), ce qui borne Complétude_isolement.
Contrôle indépendant: Complétude_isolement×N_isolations_requises doit redonner N_isolations_vérifiées.
Interprétation physique ou opérationnelle: Au passage «3. Énergies dangereuses et isolement conceptuel», «Complétude_isolement = N_isolations_vérifiées / N_isolations_requises» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: La phrase associée au quotient est: «combien de N_isolations_vérifiées pour un N_isolations_requises?». La réponse numérique porte le nom Complétude_isolement.
Variation / sensibilité: Une hausse relative de N_isolations_vérifiées se transmet directement au ratio; la même hausse relative de N_isolations_requises agit inversement sur Complétude_isolement.
Limite / hypothèse: Limite principale: N_isolations_requises=0 interdit la division. Même avec N_isolations_requises non nul, une période ou une population différente entre N_isolations_vérifiées et N_isolations_requises rendrait le ratio trompeur.

— « Énergies dangereuses et isolement conceptuel ».

4. Pression et énergie stockée

Dans ce module, pression et énergie stockée sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Énergie_pression ≈ p × V

Question de départ: Quel produit faut-il former pour calculer Énergie_pression au passage «4. Pression et énergie stockée»?
Lecture à voix haute: Formule lue sans abréviation: «Énergie indice pression environ égal à p multiplié par V».
Symboles, prononciation et sens: Énergie_pression: échelle énergétique approximative associée au produit pression-volume; p («pé»): pression utilisée par le modèle; V («vé»): volume concerné.
Unités: p en Pa et V en m³ donnent pV en joules car Pa·m³=N·m=J. Pour afficher Wh ou kWh, convertir ensuite les joules. Le facteur exact d’énergie disponible dépend du processus thermodynamique.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission. Le passage documente comme provenance: les probabilités, conséquences, barrières et heures de travail.
Pourquoi cette opération: Le produit pV possède la dimension d’une énergie et fournit ici une échelle simple, pas une énergie de détente universellement récupérable.
Substitution et calcul: Avant la multiplication, écrire la valeur et l’unité de chaque facteur de p × V. Les conversions sont effectuées avant de former Énergie_pression.
Saisie sur calculatrice: Après les conversions, entrer les facteurs de p × V avec la touche de multiplication; relire les parenthèses avant de valider le calcul de Énergie_pression.
Estimation mentale: Pour un contrôle mental, simplifier les facteurs de p × V sans changer leurs unités, puis multiplier ces valeurs grossières afin d’estimer Énergie_pression.
Contrôle indépendant: Contrôle dimensionnel: Pa×m³=J. Comparer ensuite le résultat à un modèle thermodynamique approprié si une énergie de détente réelle est recherchée.
Interprétation physique ou opérationnelle: Au passage «4. Pression et énergie stockée», «Énergie_pression ≈ p × V» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: Autrement dit, chaque facteur de p × V multiplie la contribution des autres; la quantité finale s’appelle Énergie_pression.
Variation / sensibilité: Le sens de variation est direct pour un facteur positif: augmenter ce terme de p × V augmente Énergie_pression; l’effet relatif est identique dans un produit simple.
Limite / hypothèse: pV est une approximation d’échelle. Une détente isotherme, adiabatique ou un gaz réel conduit à une expression énergétique différente.

On injecte maintenant l'événement suivant: un quasi-accident n’est pas signalé.

5. Produits chimiques et incompatibilités

Dans ce module, produits chimiques et incompatibilités sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Score_incompatibilité = Probabilité × Conséquence

Question de départ: Quel produit faut-il former pour calculer Score_incompatibilité au passage «5. Produits chimiques et incompatibilités»?
Lecture à voix haute: Formule lue sans abréviation: «Score indice incompatibilité égale Probabilité multiplié par Conséquence».
Symboles, prononciation et sens: Score_incompatibilité («Score incompatibilité»): score synthétique défini par les critères du module; Probabilité («Probabilité»): probabilité de l’événement analysé, comprise entre 0 et 1; Conséquence («Conséquence»): niveau de gravité associé à l’événement selon l’échelle du module
Unités: Score incompatibilité → sans dimension, sur l’échelle définie; Probabilité → sans dimension [0;1]; Conséquence → sans dimension, sur l’échelle définie.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission. Le passage documente comme provenance: les probabilités, conséquences, barrières et heures de travail.
Pourquoi cette opération: La relation met en chaîne les facteurs contenus dans Probabilité × Conséquence; on les multiplie pour former Score_incompatibilité. Le contrôle d’unités doit retrouver la dimension annoncée à gauche.
Substitution et calcul: Avant la multiplication, écrire la valeur et l’unité de chaque facteur de Probabilité × Conséquence. Les conversions sont effectuées avant de former Score_incompatibilité.
Saisie sur calculatrice: Après les conversions, entrer les facteurs de Probabilité × Conséquence avec la touche de multiplication; relire les parenthèses avant de valider le calcul de Score_incompatibilité.
Estimation mentale: Pour un contrôle mental, simplifier les facteurs de Probabilité × Conséquence sans changer leurs unités, puis multiplier ces valeurs grossières afin d’estimer Score_incompatibilité.
Contrôle indépendant: Contrôle indépendant — Choisir un facteur mesuré de Probabilité × Conséquence; former le produit de tous les autres, puis vérifier que Score_incompatibilité divisé par ce produit restitue le facteur choisi.
Interprétation physique ou opérationnelle: Au passage «5. Produits chimiques et incompatibilités», «Score_incompatibilité = Probabilité × Conséquence» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: Autrement dit, chaque facteur de Probabilité × Conséquence multiplie la contribution des autres; la quantité finale s’appelle Score_incompatibilité.
Variation / sensibilité: Le sens de variation est direct pour un facteur positif: augmenter ce terme de Probabilité × Conséquence augmente Score_incompatibilité; l’effet relatif est identique dans un produit simple.
Limite / hypothèse: La multiplication directe n’est justifiée que dans la frontière de «5. Produits chimiques et incompatibilités». Hors de ce domaine, un facteur de Probabilité × Conséquence peut cesser d’agir proportionnellement sur Score_incompatibilité.

On injecte maintenant l'événement suivant: une zone confinée change d’état pendant l’intervention.

6. Espaces confinés comme système de risque

Dans ce module, espaces confinés comme système de risque sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

ACH = 3600 × Q_ventilation / V_local

Question de départ: Comment déterminer ACH à partir du numérateur 3600 × Q_ventilation et de la référence V_local dans «6. Espaces confinés comme système de risque»?
Lecture à voix haute: Formule lue sans abréviation: «ACH égale 3600 multiplié par Q indice ventilation divisé par V indice local».
Symboles, prononciation et sens: ACH («a cé ache»): nombre de renouvellements d’air par heure; Q_ventilation («ku ventilation»): débit volumique de ventilation; V_local («vé local»): volume intérieur du local; 3600: conversion des secondes en heures lorsque Q est en m³/s.
Unités: ACH en h⁻¹; Q_ventilation en m³/s; V_local en m³; 3600 en s/h.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission.
Pourquoi cette opération: Dans «6. Espaces confinés comme système de risque», V_local constitue la base de comparaison et 3600 × Q_ventilation la quantité comparée. Le rapport attendu est donc 3600 × Q_ventilation divisé par V_local, non l’inverse.
Substitution et calcul: Aucune valeur nouvelle n’est requise: préparer 3600 × Q_ventilation, préparer V_local dans un référentiel compatible, et effectuer la division prévue par «ACH = 3600 × Q_ventilation / V_local».
Saisie sur calculatrice: Fermer toutes les parenthèses contenues dans 3600 × Q_ventilation et V_local avant la division finale; contrôler que l’écran représente bien (3600 × Q_ventilation)/(V_local).
Estimation mentale: Une estimation rapide consiste à écrire 3600 × Q_ventilation≈10^m et V_local≈10^n; leur quotient est alors de l’ordre de 10^(m−n), ce qui borne ACH.
Contrôle indépendant: Contrôle indépendant — La relation inverse fournit le test: 3600 × Q_ventilation≈ACH·V_local. Un désaccord au-delà de l’arrondi signale une erreur de saisie ou d’unité.
Interprétation physique ou opérationnelle: Au passage «6. Espaces confinés comme système de risque», «ACH = 3600 × Q_ventilation / V_local» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: La phrase associée au quotient est: «combien de 3600 × Q_ventilation pour un V_local?». La réponse numérique porte le nom ACH.
Variation / sensibilité: Une hausse relative de 3600 × Q_ventilation se transmet directement au ratio; la même hausse relative de V_local agit inversement sur ACH.
Limite / hypothèse: Limite principale: V_local=0 interdit la division. Même avec V_local non nul, une période ou une population différente entre 3600 × Q_ventilation et V_local rendrait le ratio trompeur.

On injecte maintenant l'événement suivant: un produit incompatible est stocké trop près.

7. Travaux simultanés

Dans ce module, travaux simultanés sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

f_interactions = N_interactions_non_maîtrisées / N_interactions

Question de départ: Comment déterminer f_interactions à partir du numérateur N_interactions_non_maîtrisées et de la référence N_interactions dans «7. Travaux simultanés»?
Lecture à voix haute: Formule lue sans abréviation: «f indice interactions égale N indice interactions indice non indice maîtrisées divisé par N indice interactions».
Symboles, prononciation et sens: f_interactions («f interactions»): fraction «interactions» comprise entre 0 et 1; N_interactions_non_maîtrisées («N interactions non maîtrisées»): nombre de interactions non maîtrisées; N_interactions («N interactions»): nombre de interactions
Unités: f interactions → sans dimension [0;1]; N interactions non maîtrisées → compte; N interactions → compte.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission.
Pourquoi cette opération: Dans «7. Travaux simultanés», N_interactions constitue la base de comparaison et N_interactions_non_maîtrisées la quantité comparée. Le rapport attendu est donc N_interactions_non_maîtrisées divisé par N_interactions, non l’inverse.
Substitution et calcul: Aucune valeur nouvelle n’est requise: préparer N_interactions_non_maîtrisées, préparer N_interactions dans un référentiel compatible, et effectuer la division prévue par «f_interactions = N_interactions_non_maîtrisées / N_interactions».
Saisie sur calculatrice: Fermer toutes les parenthèses contenues dans N_interactions_non_maîtrisées et N_interactions avant la division finale; contrôler que l’écran représente bien (N_interactions_non_maîtrisées)/(N_interactions).
Estimation mentale: Une estimation rapide consiste à écrire N_interactions_non_maîtrisées≈10^m et N_interactions≈10^n; leur quotient est alors de l’ordre de 10^(m−n), ce qui borne f_interactions.
Contrôle indépendant: Contrôle indépendant — La relation inverse fournit le test: N_interactions_non_maîtrisées≈f_interactions·N_interactions. Un désaccord au-delà de l’arrondi signale une erreur de saisie ou d’unité.
Interprétation physique ou opérationnelle: Au passage «7. Travaux simultanés», «f_interactions = N_interactions_non_maîtrisées / N_interactions» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: La phrase associée au quotient est: «combien de N_interactions_non_maîtrisées pour un N_interactions?». La réponse numérique porte le nom f_interactions.
Variation / sensibilité: Une hausse relative de N_interactions_non_maîtrisées se transmet directement au ratio; la même hausse relative de N_interactions agit inversement sur f_interactions.
Limite / hypothèse: Limite principale: N_interactions=0 interdit la division. Même avec N_interactions non nul, une période ou une population différente entre N_interactions_non_maîtrisées et N_interactions rendrait le ratio trompeur.

On injecte maintenant l'événement suivant: un permis omet un travail simultané voisin.

8. Permis de travail et responsabilités

Dans ce module, permis de travail et responsabilités sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Complétude_permis = N_champs_validés / N_champs_requis

Question de départ: Comment déterminer Complétude_permis à partir du numérateur N_champs_validés et de la référence N_champs_requis dans «8. Permis de travail et responsabilités»?
Lecture à voix haute: Formule lue sans abréviation: «Complétude indice permis égale N indice champs indice validés divisé par N indice champs indice requis».
Symboles, prononciation et sens: Complétude_permis: fraction des éléments requis qui ont été validés; N_champs_validés: nombre validé; N_champs_requis: nombre total requis.
Unités: N_champs_validés et N_champs_requis sont des comptes; Complétude_permis sans dimension entre 0 et 1.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission.
Pourquoi cette opération: Le quotient rapporte le nombre validé au nombre requis.
Substitution et calcul: Aucune valeur nouvelle n’est requise: préparer N_champs_validés, préparer N_champs_requis dans un référentiel compatible, et effectuer la division prévue par «Complétude_permis = N_champs_validés / N_champs_requis».
Saisie sur calculatrice: Fermer toutes les parenthèses contenues dans N_champs_validés et N_champs_requis avant la division finale; contrôler que l’écran représente bien (N_champs_validés)/(N_champs_requis).
Estimation mentale: Une estimation rapide consiste à écrire N_champs_validés≈10^m et N_champs_requis≈10^n; leur quotient est alors de l’ordre de 10^(m−n), ce qui borne Complétude_permis.
Contrôle indépendant: Complétude_permis×N_champs_requis doit redonner N_champs_validés.
Interprétation physique ou opérationnelle: Au passage «8. Permis de travail et responsabilités», «Complétude_permis = N_champs_validés / N_champs_requis» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: La phrase associée au quotient est: «combien de N_champs_validés pour un N_champs_requis?». La réponse numérique porte le nom Complétude_permis.
Variation / sensibilité: Une hausse relative de N_champs_validés se transmet directement au ratio; la même hausse relative de N_champs_requis agit inversement sur Complétude_permis.
Limite / hypothèse: Limite principale: N_champs_requis=0 interdit la division. Même avec N_champs_requis non nul, une période ou une population différente entre N_champs_validés et N_champs_requis rendrait le ratio trompeur.

— « Permis de travail et responsabilités ».

On injecte maintenant l'événement suivant: une barrière dépend du même capteur que la commande.

9. Modification improvisée et gestion du changement

Dans ce module, modification improvisée et gestion du changement sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

f_barrières = N_barrières_validées / N_barrières_requises

Question de départ: Comment déterminer f_barrières à partir du numérateur N_barrières_validées et de la référence N_barrières_requises dans «9. Modification improvisée et gestion du changement»?
Lecture à voix haute: Formule lue sans abréviation: «f indice barrières égale N indice barrières indice validées divisé par N indice barrières indice requises».
Symboles, prononciation et sens: f_barrières («f barrières»): fraction «barrières» comprise entre 0 et 1; N_barrières_validées («N barrières validées»): nombre de barrières validées; N_barrières_requises («N barrières requises»): nombre de barrières requises
Unités: f barrières → sans dimension [0;1]; N barrières validées → compte; N barrières requises → compte.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission.
Pourquoi cette opération: Dans «9. Modification improvisée et gestion du changement», N_barrières_requises constitue la base de comparaison et N_barrières_validées la quantité comparée. Le rapport attendu est donc N_barrières_validées divisé par N_barrières_requises, non l’inverse.
Substitution et calcul: Aucune valeur nouvelle n’est requise: préparer N_barrières_validées, préparer N_barrières_requises dans un référentiel compatible, et effectuer la division prévue par «f_barrières = N_barrières_validées / N_barrières_requises».
Saisie sur calculatrice: Fermer toutes les parenthèses contenues dans N_barrières_validées et N_barrières_requises avant la division finale; contrôler que l’écran représente bien (N_barrières_validées)/(N_barrières_requises).
Estimation mentale: Une estimation rapide consiste à écrire N_barrières_validées≈10^m et N_barrières_requises≈10^n; leur quotient est alors de l’ordre de 10^(m−n), ce qui borne f_barrières.
Contrôle indépendant: Contrôle indépendant — La relation inverse fournit le test: N_barrières_validées≈f_barrières·N_barrières_requises. Un désaccord au-delà de l’arrondi signale une erreur de saisie ou d’unité.
Interprétation physique ou opérationnelle: Au passage «9. Modification improvisée et gestion du changement», «f_barrières = N_barrières_validées / N_barrières_requises» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: La phrase associée au quotient est: «combien de N_barrières_validées pour un N_barrières_requises?». La réponse numérique porte le nom f_barrières.
Variation / sensibilité: Une hausse relative de N_barrières_validées se transmet directement au ratio; la même hausse relative de N_barrières_requises agit inversement sur f_barrières.
Limite / hypothèse: Limite principale: N_barrières_requises=0 interdit la division. Même avec N_barrières_requises non nul, une période ou une population différente entre N_barrières_validées et N_barrières_requises rendrait le ratio trompeur.

On injecte maintenant l'événement suivant: un équipement est modifié sans mise à jour documentaire.

10. Quasi-accident et retour d’expérience

Dans ce module, quasi-accident et retour d’expérience sert directement à comprendre les barrières de sécurité et la logique d'un permis de travail au niveau conceptuel, sans transformer le cours en procédure certifiante pour opérations dangereuses.

Taux_quasi_accident = N_quasi_accidents / Heures_travail

Question de départ: Comment déterminer Taux_quasi_accident à partir du numérateur N_quasi_accidents et de la référence Heures_travail dans «10. Quasi-accident et retour d’expérience»?
Lecture à voix haute: Formule lue sans abréviation: «Taux indice quasi indice accident égale N indice quasi indice accidents divisé par Heures indice travail».
Symboles, prononciation et sens: Taux_quasi_accident: fréquence de quasi-accidents rapportée au temps de travail; N_quasi_accidents: nombre de quasi-accidents observés; Heures_travail: nombre total d’heures d’exposition ou de travail correspondant.
Unités: N_quasi_accidents est un compte; Heures_travail en h; Taux_quasi_accident en événements/h, souvent renormalisé en événements pour 1 000 ou 10 000 heures.
Origine et statut des valeurs: La traçabilité numérique impose de savoir d’où vient chaque valeur; une hypothèse de cours ne doit jamais être présentée comme une mesure de mission. Le passage documente comme provenance: les probabilités, conséquences, barrières et heures de travail.
Pourquoi cette opération: Diviser le nombre d’événements par le temps d’exposition permet de comparer des périodes ou équipes ayant des volumes de travail différents.
Substitution et calcul: Aucune valeur nouvelle n’est requise: préparer N_quasi_accidents, préparer Heures_travail dans un référentiel compatible, et effectuer la division prévue par «Taux_quasi_accident = N_quasi_accidents / Heures_travail».
Saisie sur calculatrice: Fermer toutes les parenthèses contenues dans N_quasi_accidents et Heures_travail avant la division finale; contrôler que l’écran représente bien (N_quasi_accidents)/(Heures_travail).
Estimation mentale: Une estimation rapide consiste à écrire N_quasi_accidents≈10^m et Heures_travail≈10^n; leur quotient est alors de l’ordre de 10^(m−n), ce qui borne Taux_quasi_accident.
Contrôle indépendant: Contrôle inverse: Taux_quasi_accident × Heures_travail doit redonner N_quasi_accidents.
Interprétation physique ou opérationnelle: Au passage «10. Quasi-accident et retour d’expérience», «Taux_quasi_accident = N_quasi_accidents / Heures_travail» transforme des entrées en une grandeur à interpréter. Le chiffre doit rester attaché à son unité, à sa frontière de système et aux limites du modèle.
Traduction en français courant: La phrase associée au quotient est: «combien de N_quasi_accidents pour un Heures_travail?». La réponse numérique porte le nom Taux_quasi_accident.
Variation / sensibilité: Une hausse relative de N_quasi_accidents se transmet directement au ratio; la même hausse relative de Heures_travail agit inversement sur Taux_quasi_accident.
Limite / hypothèse: Limite principale: Heures_travail=0 interdit la division. Même avec Heures_travail non nul, une période ou une population différente entre N_quasi_accidents et Heures_travail rendrait le ratio trompeur.

On injecte maintenant l'événement suivant: un quasi-accident n’est pas signalé.

Exercices progressifs avec corrigés 1:1

Exercice 1: Danger, exposition et risque

Pour travailler « Danger, exposition et risque », utilisez la relation « Risque_score = Probabilité × Conséquence » pour structurer le raisonnement. Identifiez les grandeurs nécessaires et leurs unités, puis expliquez ce que le résultat permet de décider. Testez enfin la robustesse de cette décision dans le cas dégradé suivant : une barrière dépend du même capteur que la commande.

Corrigé — Exercice 1: Danger, exposition et risque

Données du cas: L’exercice porte sur « Danger, exposition et risque » et utilise la relation « Risque_score = Probabilité × Conséquence ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : une barrière dépend du même capteur que la commande.
Relation: Risque_score = Probabilité × Conséquence — relation de contrôle utilisée pour cet exercice.
Raisonnement: Identifiez d’abord les variables de « Risque_score = Probabilité × Conséquence » et placez-les dans des unités cohérentes. Appliquez ensuite la relation en conservant les hypothèses visibles, puis contrôlez l’ordre de grandeur. Enfin, répétez le raisonnement en tenant compte du cas dégradé « une barrière dépend du même capteur que la commande » pour voir si la marge ou la décision change.
Résultat: Cet exercice ne fixe pas un nombre unique tant que les données propres au cas ne sont pas fournies. Une réponse correcte donne donc un calcul ou un contrôle traçable, son unité, puis une décision explicite. Si « une barrière dépend du même capteur que la commande » rend une entrée non fiable ou supprime la marge disponible, la décision doit être revue plutôt que maintenue par défaut.
Interprétation: L’interprétation doit relier le résultat au contexte de « Danger, exposition et risque » : préciser ce qu’il permet réellement d’affirmer, ce qui reste incertain et l’effet du cas dégradé « une barrière dépend du même capteur que la commande » sur la décision.

Exercice 2: Hiérarchie des barrières

Étudiez « Hiérarchie des barrières » à l’aide de « Énergie_pression ∝ p × V ». Précisez les données qu’il faudrait mesurer ou connaître, contrôlez les unités et l’ordre de grandeur, puis examinez ce qui change dans cette situation : un équipement est modifié sans mise à jour documentaire. Concluez par la marge à surveiller et la décision opérationnelle.

Corrigé — Exercice 2: Hiérarchie des barrières

Données du cas: L’exercice porte sur « Hiérarchie des barrières » et utilise la relation « Énergie_pression ∝ p × V ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : un équipement est modifié sans mise à jour documentaire.
Relation: Énergie_pression ∝ p × V — relation de contrôle utilisée pour cet exercice.
Raisonnement: Le raisonnement doit partir des grandeurs réellement disponibles pour « Énergie_pression ∝ p × V ». Une fois les unités harmonisées, effectuez le calcul ou le contrôle symbolique, puis vérifiez le résultat par une estimation indépendante. Le scénario « un équipement est modifié sans mise à jour documentaire » sert ensuite à tester la robustesse de la conclusion.
Résultat: Le résultat attendu est une conclusion contrôlée, pas une valeur inventée. Pour « Hiérarchie des barrières », le calcul issu de « Énergie_pression ∝ p × V » doit être accompagné de son unité et de la marge utile. Le scénario « un équipement est modifié sans mise à jour documentaire » doit conduire à modifier la décision si cette marge devient insuffisante ou si une donnée cesse d’être crédible.

Exercice 3: Énergies dangereuses et isolement conceptuel

Dans « Énergies dangereuses et isolement conceptuel », partez de la relation « Barrières_eff = 1 - Π(1 - e_i) » et montrez comment elle sert de contrôle. Distinguez clairement données, hypothèses et résultat, puis rejouez le raisonnement avec ce scénario dégradé : un quasi-accident n’est pas signalé. Indiquez si la décision initiale reste défendable.

Corrigé — Exercice 3: Énergies dangereuses et isolement conceptuel

Données du cas: L’exercice porte sur « Énergies dangereuses et isolement conceptuel » et utilise la relation « Barrières_eff = 1 - Π(1 - e_i) ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : un quasi-accident n’est pas signalé.
Relation: Barrières_eff = 1 - Π(1 - e_i) — relation de contrôle utilisée pour cet exercice.
Raisonnement: Utilisez « Barrières_eff = 1 - Π(1 - e_i) » comme chaîne de contrôle : données d’entrée, unités, opération, résultat, puis interprétation. Ne mélangez pas une valeur mesurée avec une hypothèse. Le cas dégradé « un quasi-accident n’est pas signalé » doit être traité séparément pour déterminer s’il réduit la marge ou invalide une donnée.
Résultat: La bonne réponse relie le résultat de « Barrières_eff = 1 - Π(1 - e_i) » à une décision opérationnelle. Sans données numériques imposées, il faut conserver le résultat sous forme symbolique ou utiliser des valeurs explicitement annoncées comme hypothèses. Le cas « un quasi-accident n’est pas signalé » sert à décider si la conclusion reste robuste.

Repères numériques conservés. 80% · 96%.

Exercice 4: Pression et énergie stockée

Résolvez le cas « Pression et énergie stockée » avec la relation « Marge = Limite - Valeur_mesurée ». Le but n’est pas seulement d’obtenir un nombre : vérifiez les unités, la plausibilité et la marge, puis expliquez la conduite à tenir dans cette situation : une zone confinée change d’état pendant l’intervention.

Corrigé — Exercice 4: Pression et énergie stockée

Données du cas: L’exercice porte sur « Pression et énergie stockée » et utilise la relation « Marge = Limite - Valeur_mesurée ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : une zone confinée change d’état pendant l’intervention.
Relation: Marge = Limite - Valeur_mesurée — relation de contrôle utilisée pour cet exercice.
Raisonnement: Commencez par expliquer ce que représente chaque terme de « Marge = Limite - Valeur_mesurée ». Vérifiez les unités avant toute substitution, puis interprétez le résultat dans le contexte de « Pression et énergie stockée ». Reprenez enfin la décision lorsque le scénario « une zone confinée change d’état pendant l’intervention » est imposé.
Résultat: On ne doit pas fabriquer de précision absente de l’énoncé. La réponse valide présente les données choisies, l’application de « Marge = Limite - Valeur_mesurée », l’unité et la marge, puis explique ce qui change sous « une zone confinée change d’état pendant l’intervention ». Si le cas dégradé casse l’hypothèse principale, la conclusion doit passer en attente ou être recalculée.

Exercice 5: Produits chimiques et incompatibilités

Pour « Produits chimiques et incompatibilités », expliquez quelles grandeurs entrent dans « Risque_score = Probabilité × Conséquence » et comment vous contrôleriez le résultat. Appliquez ensuite le même raisonnement au cas dégradé suivant : un produit incompatible est stocké trop près. Votre conclusion doit préciser ce qui reste sûr, ce qui devient incertain et la décision à prendre.

Corrigé — Exercice 5: Produits chimiques et incompatibilités

Données du cas: L’exercice porte sur « Produits chimiques et incompatibilités » et utilise la relation « Risque_score = Probabilité × Conséquence ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : un produit incompatible est stocké trop près.
Relation: Risque_score = Probabilité × Conséquence — relation de contrôle utilisée pour cet exercice.
Raisonnement: La méthode consiste à traduire « Produits chimiques et incompatibilités » en grandeurs compatibles avec « Risque_score = Probabilité × Conséquence », à contrôler les unités puis à confronter le résultat à un ordre de grandeur ou à un seuil opérationnel. Le cas « un produit incompatible est stocké trop près » doit ensuite être utilisé comme test de sensibilité de la décision.
Résultat: Pour « Produits chimiques et incompatibilités », le résultat n’est acceptable que si l’on peut retracer les données utilisées et le contrôle des unités. La relation « Risque_score = Probabilité × Conséquence » fournit le cadre du calcul ; le cas « un produit incompatible est stocké trop près » détermine ensuite si la marge reste suffisante pour conserver la décision.

Exercice 6: Espaces confinés comme système de risque

Analysez « Espaces confinés comme système de risque » en vous servant de « Énergie_pression ∝ p × V » comme relation de référence. Présentez les données utiles et leur unité, puis vérifiez le résultat par un contrôle indépendant ou un ordre de grandeur. Enfin, tenez compte de cette dégradation : un permis omet un travail simultané voisin.

Corrigé — Exercice 6: Espaces confinés comme système de risque

Données du cas: L’exercice porte sur « Espaces confinés comme système de risque » et utilise la relation « Énergie_pression ∝ p × V ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : un permis omet un travail simultané voisin.
Relation: Énergie_pression ∝ p × V — relation de contrôle utilisée pour cet exercice.
Raisonnement: Pour éviter une réponse automatique, séparez trois étapes : construire les données de « Énergie_pression ∝ p × V », vérifier le calcul et son unité, puis interpréter la marge. Le scénario « un permis omet un travail simultané voisin » est un second cas à analyser : il peut modifier la marge sans nécessairement changer la relation elle-même.
Résultat: Le corrigé doit aboutir à une décision justifiée par « Énergie_pression ∝ p × V » et non à une phrase générique. En l’absence de valeurs imposées, aucune valeur numérique unique n’est exigée. La conclusion reste valable seulement si le scénario « un permis omet un travail simultané voisin » ne détruit ni la cohérence des données ni la marge de sécurité.
Interprétation: L’interprétation doit relier le résultat au contexte de « Espaces confinés comme système de risque » : préciser ce qu’il permet réellement d’affirmer, ce qui reste incertain et l’effet du cas dégradé « un permis omet un travail simultané voisin » sur la décision.

Exercice 7: Travaux simultanés

À propos de « Travaux simultanés », utilisez « Barrières_eff = 1 - Π(1 - e_i) » pour bâtir un raisonnement traçable. Expliquez les hypothèses, le sens du résultat et la marge disponible. Reprenez ensuite la conclusion si le cas suivant survient : une barrière dépend du même capteur que la commande.

Corrigé — Exercice 7: Travaux simultanés

Données du cas: L’exercice porte sur « Travaux simultanés » et utilise la relation « Barrières_eff = 1 - Π(1 - e_i) ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : une barrière dépend du même capteur que la commande.
Relation: Barrières_eff = 1 - Π(1 - e_i) — relation de contrôle utilisée pour cet exercice.
Raisonnement: Identifiez d’abord les variables de « Barrières_eff = 1 - Π(1 - e_i) » et placez-les dans des unités cohérentes. Appliquez ensuite la relation en conservant les hypothèses visibles, puis contrôlez l’ordre de grandeur. Enfin, répétez le raisonnement en tenant compte du cas dégradé « une barrière dépend du même capteur que la commande » pour voir si la marge ou la décision change.
Résultat: Cet exercice ne fixe pas un nombre unique tant que les données propres au cas ne sont pas fournies. Une réponse correcte donne donc un calcul ou un contrôle traçable, son unité, puis une décision explicite. Si « une barrière dépend du même capteur que la commande » rend une entrée non fiable ou supprime la marge disponible, la décision doit être revue plutôt que maintenue par défaut.

Repères numériques conservés. 80% · 96%.

Exercice 8: Permis de travail et responsabilités

Le cas « Permis de travail et responsabilités » doit être traité avec la relation « Marge = Limite - Valeur_mesurée ». Commencez par identifier les données et unités nécessaires, puis dites comment le résultat serait vérifié. Testez enfin la décision dans cette situation dégradée : un équipement est modifié sans mise à jour documentaire.

Corrigé — Exercice 8: Permis de travail et responsabilités

Données du cas: L’exercice porte sur « Permis de travail et responsabilités » et utilise la relation « Marge = Limite - Valeur_mesurée ». Les grandeurs doivent être définies avant calcul et leurs unités rendues compatibles. Le scénario de robustesse à tester est le suivant : un équipement est modifié sans mise à jour documentaire.
Relation: Marge = Limite - Valeur_mesurée — relation de contrôle utilisée pour cet exercice.
Raisonnement: Le raisonnement doit partir des grandeurs réellement disponibles pour « Marge = Limite - Valeur_mesurée ». Une fois les unités harmonisées, effectuez le calcul ou le contrôle symbolique, puis vérifiez le résultat par une estimation indépendante. Le scénario « un équipement est modifié sans mise à jour documentaire » sert ensuite à tester la robustesse de la conclusion.
Résultat: Le résultat attendu est une conclusion contrôlée, pas une valeur inventée. Pour « Permis de travail et responsabilités », le calcul issu de « Marge = Limite - Valeur_mesurée » doit être accompagné de son unité et de la marge utile. Le scénario « un équipement est modifié sans mise à jour documentaire » doit conduire à modifier la décision si cette marge devient insuffisante ou si une donnée cesse d’être crédible.

Mini-projet intégrateur et dossier de référence

Auditer un permis de travail fictif comportant plusieurs erreurs conceptuelles: périmètre incomplet, interfaces oubliées, barrière commune et conflit de travaux. L'exercice identifie les lacunes sans fournir d'instructions pratiques pour réaliser une opération dangereuse.

« Exercice 8: Permis de travail et responsabilités » — hypothèses, budget, marges.

« Exercice 8: Permis de travail et responsabilités » — interfaces et causes communes.

« Exercice 8: Permis de travail et responsabilités » — calculs, limites, critères.

Repères du passage: inventaire

Repères du passage: sous-système · masse · redondance

Verification de maîtrise du module 56

« Exercice 8: Permis de travail et responsabilités » — unités et ordre de grandeur.
« Exercice 8: Permis de travail et responsabilités » — cas dégradé.
« Exercice 8: Permis de travail et responsabilités » — marge décisionnelle.
« Exercice 8: Permis de travail et responsabilités » — mesure de contrôle.

Repères du passage: observation

Repères du passage: substitution

Repères du passage: validation

Repères du passage: marge

Repères du passage: Mode dégradé

Repères du passage: robustesse

Repères du passage: défaillance

Repères du passage: incertitude

Sécurité industrielle : le permis de travail doit représenter physiquement le chantier

Un permis utile décrit la frontière de travail, les énergies accessibles, les produits présents, les activités voisines, les barrières, les vérifications et les conditions qui annulent l’autorisation. S’il ne modifie pas ce que l’équipe isole, mesure et contrôle, il n’est qu’un formulaire.

L’énergie résiduelle reste dangereuse après l’ordre d’arrêt

Pression piégée, condensateur, ressort, masse suspendue, chaleur ou froid cryogénique peuvent survivre à la coupure. La mise en sécurité exige dissipation, blocage ou confinement, puis mesure indépendante au point de travail.

La vérification ne doit pas dépendre uniquement de la commande

Un même capteur ne doit pas être la seule preuve qu’une vanne commandée fermée est réellement isolante. Selon le risque, on vérifie pression aval, position physique, absence de tension ou atmosphère sûre avec un moyen distinct.

Deux travaux sûrs séparément peuvent devenir dangereux ensemble

Soudage, purge, essais logiciels, coupure électrique et maintenance atmosphérique peuvent interagir. La coordination des travaux simultanés doit rendre visibles zones, utilités partagées et activités incompatibles.

Le retour en service est une seconde opération à risque

Outils, obturateurs temporaires, capteurs, protections, configuration logicielle et personnel doivent être vérifiés avant réénergisation progressive. Une maintenance bien menée peut encore échouer au redémarrage.

Énergie résiduelle à considérer

E_résiduelle = Σ E_stockée,i après isolement

Question concrète: Après coupure de l’alimentation normale, quelles énergies déjà stockées peuvent encore se libérer dans la zone de travail ?
Intuition sans symboles: Couper la source empêche d’ajouter de l’énergie, mais n’efface pas celle qui est déjà présente : pression, condensateurs, masse en hauteur, rotation, chaleur ou ressorts.
Lecture à voix haute: « Énergie résiduelle égale la somme des énergies stockées i qui restent après l’isolement. »
Symboles, prononciation et sens: E_stockée,i : contribution de chaque source d’énergie encore présente ; Σ : on additionne les contributions identifiées ; E_résiduelle : inventaire énergétique restant.
Unités: Convertir les termes comparables dans une unité commune, par exemple J ou kJ. Certains dangers doivent cependant rester contrôlés aussi par pression, tension, température ou force.
Origine et statut des valeurs: Les sources viennent de la cartographie énergétique de l’équipement et de mesures. L’équation est un outil de comptabilité ; le modèle physique de chaque énergie est spécifique.
Pourquoi ces opérations: L’addition oblige l’équipe à rechercher toutes les sources au lieu de considérer l’interrupteur principal comme preuve d’état sûr.
Exemple construit: 40 kJ pneumatiques, 8 kJ dans un banc de condensateurs et 5 kJ d’énergie mécanique mobile.
Substitution et calcul: E_résiduelle = 40+8+5 = 53 kJ tant que chaque source n’est pas dissipée, bloquée ou maîtrisée.
Estimation mentale: 40 + environ 10 + 5 donne un résultat dans le milieu des cinquante : 53 kJ est plausible.
Contrôle indépendant: Vérifier chaque source avec sa mesure propre : manomètre/vent, mesure de tension, immobilisation mécanique, confirmation de mouvement nul.
Interprétation: Une tension électrique nulle ne signifie pas zéro danger si une pression ou une énergie mécanique subsiste.
Sensibilité: Une seule source haute pression oubliée peut dominer le danger total.
Hypothèses et domaine de validité: Toutes les contributions E_stockée,i incluses dans la somme sont celles encore effectivement présentes après isolement. La somme suppose qu’une unité énergétique commune est pertinente pour l’inventaire, sans remplacer les contrôles propres à chaque danger.
Limites du modèle: Une somme scalaire d’énergie ne décrit ni direction, ni vitesse de libération, ni toxicité, ni géométrie locale.
Ce que le résultat ne prouve pas: Une faible énergie calculée ne garantit pas l’acceptabilité : certains dangers chimiques, électriques ou de pression restent graves.
Erreur classique: Confondre « machine arrêtée » et « énergie dangereuse éliminée ».
Cas dégradé: Si une mesure reste non nulle après l’étape d’isolement prévue, le travail ne démarre pas : le modèle de l’installation est incomplet.
Décision de mission: Exiger une preuve d’état sûr source par source avant toute intervention.

Exercice — le chantier ne correspond plus au permis

Après ouverture, l’équipe découvre un routage différent et un détecteur indisponible. Que fait-elle ?

Solution raisonnée. Solution attendue : arrêter, rendre la zone sûre, mettre à jour l’analyse et les barrières, obtenir la revue nécessaire et réémettre ou amender le permis avant de poursuivre.

Pour relier cet atelier aux références déjà utilisées par le module, consulter NASA-STD-3001 Volume 2 et NASA — Environmental Control and Life Support Systems.

Sources primaires et passerelles

Composite pédagogique : un travail sûr suit une chaîne explicite de barrières, de l’identification du danger jusqu’à la remise en service contrôlée.