Bibliothèque Pétrole & GazOIL & GAS LIBRARY S'abonner
Retour
Accueil / Articles / HSE

Évaluation des risques de sûreté (SRA) d'une installation pétrolière : la méthode API 780 pas à pas

Ingénieurs : calculs et HSEHSE8 min de lecture

L’essentiel

  • Une évaluation des risques de sûreté répond à : que protège-t-on, contre qui, à quel point est-on vulnérable, et quelles sont les conséquences ?
  • La méthode API 780 comporte cinq étapes : caractérisation, évaluation de la menace, analyse de vulnérabilité, évaluation du risque et contre-mesures.
  • Les risques sont hiérarchisés par une matrice probabilité × conséquence, et les plus élevés sont traités en premier.
  • La détection doit être précoce : le retard restant après détection doit dépasser le temps d'arrivée de l'équipe d'intervention.
  • Les contre-mesures comprennent barrières, détection, procédures, formation et conception sûre, et l'évaluation est refaite après chaque changement important.

Contenu éducatif uniquement : les procédures et valeurs opérationnelles varient d’une compagnie et d’un site à l’autre. Suivez toujours les procédures approuvées de votre société, les consignes du superviseur et les permis de travail de votre site.

Pourquoi évaluer les risques de sûreté ?

On ne peut pas tout protéger de la même façon. Les moyens sont limités : gardiens, caméras, clôtures et temps. L'évaluation des risques de sûreté aide l'ingénieur et le responsable sûreté à placer ces moyens au bon endroit. La méthode courante dans l'industrie pétrolière et pétrochimique est la norme API 780. Son idée : le risque de sûreté a trois composantes :

Risk = f(Threat, Vulnerability, Consequence)

C'est-à-dire la menace (qui pourrait vouloir nuire, et avec quelle capacité), la vulnérabilité (avec quelle facilité il réussirait) et la conséquence (ce qui se passe s'il réussit).

Les cinq étapes

  1. Caractérisation : que protège-t-on ? D'abord les personnes, puis l'usine, la salle de contrôle, le poste électrique, les bacs de carburant, les magasins de matières dangereuses, les données et les systèmes de contrôle. Pour chaque actif : quelle importance, et que se passe-t-il s'il est perdu ?
  2. Évaluation de la menace : qui pourrait viser l'installation ? Voleurs de matériel et de carburant, initié mécontent, vandales, ou menaces cyber. L'évaluation s'appuie sur les informations des autorités et l'historique des incidents de la région.
  3. Analyse de vulnérabilité : imaginer le trajet de chaque menace vers l'actif et se demander : où sera-t-elle détectée, combien de temps sera-t-elle retardée, et l'équipe peut-elle arriver à temps ?
  4. Évaluation du risque : classer les scénarios avec une matrice et les comparer aux critères d'acceptation de la société.
  5. Contre-mesures : proposer ce qui réduit le risque, puis recalculer le risque avec ces mesures en place.

Hiérarchiser les risques avec une matrice

Comme pour une matrice de risques HSE, chaque scénario reçoit une note de probabilité de 1 à 5 et une note de conséquence de 1 à 5 :

Risk score = Likelihood × Consequence

  • Vol de câbles en cuivre sur des puits isolés : probabilité 4 × conséquence 2 = 8.
  • Intrusion dans le poste électrique : probabilité 2 × conséquence 4 = 8.
  • Manipulation du système de contrôle par une clé USB : probabilité 2 × conséquence 5 = 10.

Le plus élevé est traité en premier. Mais attention : des notes égales ne signifient pas un traitement égal. Un scénario aux conséquences catastrophiques demande une protection supplémentaire même si sa probabilité est faible.

Le principe « détecter tôt »

Une barrière seule ne suffit pas, car toute barrière peut être franchie avec du temps et des outils. Ce qu'on veut, c'est que le système détecte la tentative tôt, en laissant après la détection assez de retard pour que l'équipe arrive. La règle :

Remaining delay after detection ≥ Response time

Detect early: delay after detection ≥ response time Outer fence1 min Open ground3 min Inner fence2 min Control room door4 min Asset Case 1: sensor delay left = 3 + 2 + 4 = 9 min ≥ 8 min ✓ Case 2: camera delay left = 4 min < 8 min ✗ Response team arrival after alarm: 8 min 8 min
Figure : trajet hypothétique d'un intrus vers la salle de contrôle, avec le retard ajouté par chaque couche. Si l'intrusion est détectée à la clôture extérieure, il reste 9 minutes de retard, plus que les 8 minutes du temps d'intervention. Si elle n'est détectée qu'à la clôture intérieure, il ne reste que 4 minutes.
Exemple résolu : l'équipe arrive-t-elle à temps ?

L'équipe d'intervention met 8 minutes à arriver après l'alarme. Sur un trajet hypothétique vers la salle de contrôle, les couches ajoutent ces retards : clôture extérieure 1 minute, traversée d'un terrain dégagé 3 minutes, clôture intérieure 2 minutes, porte renforcée de la salle de contrôle 4 minutes.

Cas 1 : détection à la clôture extérieure (capteur de clôture) :

Remaining delay = 3 + 2 + 4 = 9 min ≥ 8 min

L'équipe arrive avant que l'actif soit atteint. La conception est acceptable.

Cas 2 : première détection seulement à la clôture intérieure (une caméra à cet endroit) :

Remaining delay = 4 min < 8 min

L'équipe arrive trop tard. Solutions : détecter plus tôt à la clôture extérieure, une porte plus résistante qui ajoute du retard, ou rapprocher l'équipe pour réduire le temps d'intervention.

La leçon : une caméra de plus au mauvais endroit n'améliore rien. L'endroit de la détection compte plus que le nombre d'équipements.

Les types de contre-mesures

  • Physiques : clôtures, barrières anti-véhicules, portes renforcées, serrures et éclairage.
  • Électroniques : capteurs de clôture, caméras, badges d'accès et alarmes.
  • Procédurales : gestion des clés, vérifications d'antécédents dans le cadre légal, gestion des visiteurs, et autorisations d'accès aux zones critiques.
  • Humaines : gardiens formés, formation de tous les travailleurs au signalement, et exercices communs avec le HSE.
  • Cyber : séparer le réseau de contrôle du réseau bureautique, et contrôler les supports amovibles.
  • Conception intrinsèquement plus sûre : réduire les stocks dangereux, éloigner les actifs critiques du périmètre, et doubler les alimentations électriques.

Quand refaire l'évaluation ?

  • Quand le niveau de menace de la région change.
  • Quand une nouvelle unité est ajoutée ou que l'installation change beaucoup.
  • Après tout incident ou tentative de sûreté.
  • Périodiquement, selon la politique de la société.

À retenir pour l'ingénieur

L'évaluation des risques de sûreté transforme la sûreté d'une intuition en décision raisonnée : on sait ce qu'on protège, on classe les scénarios, et on place la détection là où elle laisse assez de temps à l'équipe. Les résultats eux-mêmes sont des informations sensibles, conservées et partagées uniquement avec ceux qui en ont besoin.

Testez vos connaissances

Testez vos connaissances
Quelles sont les trois composantes du risque de sûreté dans la méthode API 780 ?
Explication : Le risque dépend de qui pourrait attaquer, de la facilité de réussir, et de la conséquence en cas de réussite.
Un scénario a une probabilité de 2 et une conséquence de 5. Quelle est sa note de risque ?
Explication : 2 × 5 = 10.
Le temps d'intervention est de 8 minutes et le retard restant après détection de 4 minutes. Quel est le résultat ?
Explication : Le retard restant après détection doit être au moins égal au temps d'intervention.
Pourquoi les résultats d'une évaluation des risques de sûreté sont-ils sensibles ?
Explication : Connaître les points faibles pourrait aider quelqu'un qui veut nuire ; leur diffusion est donc contrôlée.

Leçons liées

Ouvrir les calculateurs

Sources

  1. API Standard 780 - Security Risk Assessment Methodology for the Petroleum and Petrochemical Industries
  2. AFPM - API Standard 780 (product summary)
  3. CISA - Risk-Based Performance Standards (RBPS)
  4. CISA / Interagency Security Committee - Facility Access Control: A Best Practice (2025)

Une question sur cet article ? Demandez à la bibliothèque