Arbres de défaillance et points de défaillance unique
Construire un arbre de défaillance simple pour visualiser les combinaisons d'événements menant à une panne critique.
À retenir
- Un arbre de défaillance décompose un événement redouté en causes reliées par des portes logiques ET/OU.
- Une porte OU aggrave le risque (une seule cause suffit) ; une porte ET le réduit (toutes les causes requises).
- Le calcul de probabilité combinée n'est valable que si les branches sont réellement indépendantes.
- Les points de défaillance unique les plus fréquents concernent des éléments secondaires (vannes, automates), pas les gros équipements redondés.
Remonter du symptôme redouté vers ses causes combinées
Un arbre de défaillance (Fault Tree Analysis, FTA) part d'un événement redouté (par exemple « perte totale d'alimentation d'une baie ») et le décompose en événements intermédiaires reliés par des portes logiques ET / OU, jusqu'aux causes de base.
Les deux portes logiques essentielles
- Porte OU : l'événement survient si au moins une des causes se produit (aggrave le risque, typique d'un système sans redondance).
- Porte ET : l'événement ne survient que si toutes les causes se produisent simultanément (réduit le risque, typique d'une redondance efficace).
Point clé
un arbre de défaillance dominé par des portes OU signale une architecture fragile ; un arbre dominé par des portes ET, correctement conçu sans dépendance cachée, signale une architecture robuste.
Exemple simplifié : perte d'alimentation d'une baie en double alimentation (A/B)
Événement redouté : Perte totale d'alimentation de la baie
│ (ET)
┌────┴────┐
Panne voie A Panne voie B
│ (OU) │ (OU)
PDU A en panne PDU B en panne
Disjoncteur A ouvert Disjoncteur B ouvert
Ici, la perte totale n'a lieu que si les deux voies tombent en panne simultanément (porte ET), ce qui est l'objectif recherché d'une architecture A/B.
Calcul de probabilité associé
Si chaque voie a une probabilité de panne annuelle de 0,5 % (indépendantes), la probabilité de perte totale = 0,005 × 0,005 = 0,000025, soit 0,0025 % par an — bien inférieure à la probabilité de panne d'une seule voie.
Attention
ce calcul n'est valable que si les deux voies sont réellement indépendantes. Si les deux PDU sont alimentés par le même transformateur amont, l'hypothèse d'indépendance est fausse et le calcul surestime dangereusement la fiabilité réelle.
Identifier les points de défaillance unique (SPOF)
Un point de défaillance unique est tout élément dont la seule panne suffit à provoquer l'événement redouté, sans nécessiter de porte ET. La méthode consiste à parcourir l'arbre et à repérer chaque cause reliée directement à l'événement redouté par une chaîne de portes OU uniquement.
Sur le terrain
les SPOF les plus fréquemment découverts en audit ne sont pas les gros équipements (groupes électrogènes, onduleurs), déjà redondés par conception, mais les éléments « secondaires » : une seule vanne d'isolement partagée, un seul automate de supervision, un seul chemin de câbles de commande.
Astuce
construisez systématiquement l'arbre de défaillance à partir du terrain réel (photos, schémas as-built) et non du seul schéma de principe théorique ; c'est souvent l'écart entre les deux qui révèle le SPOF caché.