Structure du questionnaire d’auto-évaluation
Le questionnaire d’auto-évaluation est divisé en 3 chapitres principaux :
- Comment sont mis en œuvre les éléments clés du système de management de la sécurité
- Comment sont gérés les risques industriels majeurs
- Comment sont gérés les risques liés aux équipements critiques
Chaque chapitre se compose de sections. Chaque section se présente comme dans le tableau ci-dessous.
1. Éléments importants du système de management sécurité
L’objectif de ce chapitre est de vérifier que les éléments organisationnels clés sont en place pour gérer les risques sur le site éolien.
Description |
Les politiques chapeau existent. Cela inclut :
|
Indicateurs | Les politiques sont approuvées, partagées et en vigueur sur le site. |
Récurrence/Fréquence | N/A |
Description |
L’identification des dangers et l’analyse des risques sont essentiels pour assurer que les risques spécifiques liés aux travaux sont identifiés, et que des mesures de contrôle sont prises. L’analyse des risques est réalisée à plusieurs phases, de la conception à l’exploitation et à la mise hors service. Plusieurs types d’évaluations des risques existent, et parmi elles :
L’analyse de risque est importante pour toute situation à risque, incluant celles faisant suite à un changement ou pour tous les travaux. La direction doit s’assurer qu’un processus d’identification des dangers et d’analyse des risques est en place pour systématiquement identifier, évaluer et contrôler les risques. Pour toute recommandation sur cette section, se référer à :
|
Indicateurs | Une évaluation des risques doit être réalisée, et un plan d’action mis en place. |
Récurrence/Fréquence | Des mises à jour fréquentes de l’évaluation des risques sont nécessaires, et au moins à chaque modification majeure (analyse de risques industriels), et avant chaque type de travaux (analyse de risques au travail). |
Description |
Les manuels d’exploitation et de maintenance, et les procédures requises doivent être développés et tenus à jour. Pour toute recommandation sur cette section, se référer à :
|
Indicateurs | Manuels opératoires et procédures identifiés, à disposition du personnel, justes, à jour, compris et utilisés. |
Récurrence/Fréquence | N/A |
Description |
Disposer d’un processus de gestion des changements (Management of Change – MoC) pour toute modification temporaire, permanente ou urgente sur les équipements, procédures et composants. Le processus considère les changements sur :
Il est essentiel que tout changement soit décrit, revu et approuvé par des personnes désignées et compétentes, avant qu’il ne soit mis en œuvre, et que des systèmes soient en place pour suivre et auditer le processus de gestion des changements. Les rôles et responsabilités du personnel et des départements dans ce processus sont clairement définis. Pour toute recommandation sur cet élément, se référer à :
|
Indicateurs |
Les modifications proposées doivent être revues et approuvées. Un système de suivi et d’audit doit être mis en place. Les risques doivent être évalués en cas de changement. |
Récurrence/Fréquence | Revoir et mettre à jour régulièrement les procédures en tenant compte du retour d’expérience. |
Description |
Le processus de préparation au démarrage d’installations est essentiel pour assurer l’exploitation de tout équipement neuf ou modifié en toute sécurité. Ce processus implique d’évaluer les risques santé sécurité ainsi que ceux liés à la sécurité de l’installation survenant pendant la mise en service ou le démarrage de ces équipements. Le processus inclut divers aspects tels que les facteurs humains et organisationnels, mais également les composants, les logiciels, et les procédures. Il est important de noter qu’une modification peut avoir un impact sur l’ensemble de ces aspects. Par exemple, une modification sur un composant ou un logiciel peut nécessiter de revoir une procédure et de tenir compte de ces facteurs. Pour toute recommandation sur cet élément, se référer à :
|
Indicateurs |
Le processus doit être en place et vérifié régulièrement. Le processus doit inclure les facteurs humains et organisationnels, ainsi que les composants, logiciels et procédures. |
Récurrence/Fréquence | Le processus est revu régulièrement et en cas d’incidents. |
Description |
Un plan d’urgence doit être mis en place afin que l’organisation réponde de façon efficace aux crises, situations d’urgence ou incidents pouvant survenir. L’objectif est de réduire la gravité des impacts en cas d’évènement grâce à des actions préparées et appropriées. Cet élément couvre :
Pour toute recommandation sur cet élément, se référer à :
|
Indicateurs |
Identification des scenarios d’urgence. Préparation et test des différents scenarios. |
Récurrence/Fréquence | Test annuel des plans de gestion d’urgence. |
Description |
Des dispositions appropriées en matière de contrôle du travail et de permis de travail sont utilisées pour assurer la sécurité du personnel et de l’installation pendant les travaux. Les permis de travail permettent de vérifier si les risques liés aux travaux à réaliser sont identifiés et gérés, et d’en contrôler les accès, Le système de permis de travail couvre au moins les risques électriques (incluant les consignations), les travaux en espaces confinés, et les travaux par point chaud, qui nécessitent un permis spécifique. Pour toute recommandation sur cet élément, se référer à :
|
Indicateurs |
Une procédure d’autorisation d’accès est en vigueur et utilisée. Les travailleurs n’ont pas accès au site sans autorisation. Des permis de travail sont délivrés pour gérer les risques critiques. Entre autres, un permis de travail spécifique existe pour gérer les travaux par point chaud. |
Récurrence/Fréquence |
Analyse de risque disponible pour travail. Permis de travail délivré avant chaque intervention à risque spécifique (espace confiné, électrique, point chaud etc.) |
Description |
La remontée des anomalies et des incidents est essentielle pour détecter des failles dans les pratiques ou les procédures en place. Des actions adéquates doivent être mises en œuvre pour prévenir toute récurrence. La remontée des HiPos (incidents à haut potentiel de gravité) est d’importance capitale pour le Groupe. Ces situations ou évènements auraient pu causer des blessures graves ou mortelles, si les circonstances avaient été différentes. Il est important que tout incident soit rapporté et analysé (selon l’impact potentiel), qu’un plan d’actions soit établi, et que les enseignements soient pris en compte rapidement. La remontée de bonnes pratiques doit également être encouragée, et le partage effectué. Pour toute recommandation sur cet élément, se référer à :
|
|
Indicateurs |
Engagement / politique clairs que tout incident doit être remonté. Les procédures pour remonter les incidents sont disponibles et appliquées. Tout incident est analysé pour identifier les causes, et un plan d’actions est mis en place pour éviter leur récurrence Des indicateurs spécifiques liés à la sécurité industrielle ont été définis et sont suivis, en complément d’indicateurs de santé et sécurité au travail. Les accidents mortels et situations dangereuses détectées dans le Groupe et applicables au site sont partagés sur le site. |
|
Récurrence/Fréquence | A chaque incident |
Description |
Le processus d’inspections et de maintenance est essentiel pour préserver l’intégrité de l’actif. Il prévient les dommages et l’indisponibilité. Il est important d’identifier les équipements critiques de sécurité, et de vérifier, inspecter et réaliser la maintenance préventive de ces équipements. Indépendamment de la stratégie de maintenance, un système de contrôle et d’acquisition de données (Scada, pour Supervisory Control And Data Acquisition) et un suivi à distance doivent permettre un suivi permanent de la performance et de l’état et de l’intégrité de l’actif. Il doit délivrer des alertes lorsque des écarts sont constatés, et arrêter l’actif en cas d’évènement majeur. Les équipements critiques de sécurité sont identifiés par le biais de méthodes formelles d’analyse des procédés ou d’évaluation des risques. Pour toute recommandation sur cet élément, se référer à :
|
Indicateurs |
Une évaluation du fournisseur est faite par un gestionnaire de contrat ENGIE. Le Système de Gestion des Actifs interne permet les revues de performance (par exemple Darwin). Un système de suivi de l’état (CMS – condition monitoring system) et une équipe d’expertise est en place. Le CMS suit les composants critiques (e.g. analyse vibratoire) permettant dans le meilleur des cas des alertes pour prévenir les pannes. Les équipements critiques de sécurité sont identifiés, contrôlés et maintenus en bon état. Les modes de gestion dégradée sont revus, et des plans d’actions en place si nécessaire. |
Récurrence/Fréquence |
Réunion / évaluation annuelle avec le fournisseur Suivi permanent à travers système de gestion des actifs et CMS. |
Description |
Tout personnel ENGIE ou sous-traitant accédant au site dispose d’une sensibilisation aux sujets pouvant impacter leur sécurité ou la sécurité de l’installation, et d’un accueil sécurité à jour. Le GWO (Global Wind Organisation) a développé une formation de base consistant en 4 modules pour les éoliennes onshore :
Des formations spécifiques en électricité sont également requises selon la réglementation locale. D’autres formations sont recommandées, comme :
De façon générale, un plan de formation doit permettre d’identifier quelle personne ou fonction nécessite de suivre quel type de formation en santé sécurité, sécurité industrielle, et de formation technique. Pour toute recommandation sur cet élément, se référer à :
|
Indicateurs |
Une procédure de formation et sensibilisation existe, est en vigueur, et est appliquée sur site. Le cas échéant, les formations suivent les normes définies par le GWO. |
Récurrence/Fréquence |
Les supports de formation sont revus a minima de façon annuelle. Les formations font l’objet de rappel chaque année ou tous les 2 ans, selon les règles locales, les normes du GWO ou équivalents. |
Description | Tous les sous-traitants intervenants sur site doivent être enregistrés pour permettre un suivi correct des interventions, des modifications et des remplacements d’équipements. Afin d’évaluer la qualité de service, ils doivent être régulièrement évalués.Toutes les clauses contractuelles de sécurité s’appliquent aux sous-traitants actifs sur les sites pour lesquels ENGIE dispose du management opérationnel.Pour toute recommandation sur cet élément, se référer à :
Définition : « Documents conjoints » (bridging documents) : parfois en place dans l’industrie, ce sont des documents d’interface qui définissent comment différentes organisations conviennent de principes et de pratique de management de la sécurité qui seront utilisés dans le cadre d’une coopération sur un projet, un contrat ou une opération. |
Indicateurs |
Les sous-traitants sont enregistrés et appliquent les procédures prévues et en vigueur. Les sous-traitants sont régulièrement formés / sensibilisés pour disposer des connaissances et informations nécessaires. |
Récurrence/Fréquence | Avant / durant chaque intervention. |
2. Gestion des risques industriels majeurs
L’objectif de cette section est de s’assurer que des mesures de gestion des risques industriels majeurs des éoliennes sont mises en place.
Description |
Un incendie dans une éolienne entraîne souvent sa destruction complète car une nacelle en feu est inaccessible aux services de secours. La chute d’éléments enflammés peut également créer des dégâts aux alentours de l’éolienne. Un incendie peut également survenir au niveau du poste de livraison. Le risqué incendie doit être géré avec une priorité haute. Il est fondamental de mettre en œuvre tous les moyens permettant de limiter les risques :
En complément, un plan de maintenance des équipements de détection incendie, des alarmes et des équipement de lutte contre l’incendie doit être établi.. Les travaux par points chauds doivent être conformes à la procédure NFPA51B procédure, incluant la délivrance des permis de feu. Pour toute recommandation sur cet élément, se référer à : |
Indicateurs |
Des procédures de gestion incendie sont disponibles et testées. Des procédures de prévention incendie sont en place et sont utilisées. Les équipements de détection incendie sont vérifiés périodiquement et un suivi est effectué. |
Récurrence/Fréquence |
Procédures de gestion incendie revues annuellement. Les nouvelles procédures sont testées (conformes avec les normes NFPA applicables). Système d’extinction incendie et/ou extincteurs vérifiés annuellement. Equipements de détection incendie vérifiés annuellement et surveillées 24h/24 et 7j/7. Fire detection devices are yearly checked and 24/7 monitored. |
Description |
A cause de la hauteur des éoliennes et de leur situation dans des espaces dégagés, des impacts de foudre sur les pales peuvent survenir. La foudre peut entraîner des dommages ou même causer la destruction des pales et des systèmes électriques. Il est donc crucial de définir un programme de test du système de protection foudre. L’évaluation du niveau d’exposition à la foudre a été réalisé conformément aux exigences de la norme IEC 61400-24 dans sa version la plus récente. Le système de protection électrique de l’éolienne est certifié selon la norme IEC 61400-24 dans sa version la plus récente incluant tous les paramètres définis par le niveau de protection foudre applicable. |
Indicateurs | Un système de protection foudre est installé et régulièrement testé. |
Récurrence/Fréquence |
Le système de protection foudre est vérifié visuellement tous les ans, et une inspection complète (incluant une mesure de la continuité) réalisée tous les 2 ans pour LPL-I et II, tous les 4 ans pour LPL-III et IV. Le système de mesure des impacts foudre et de leur intensité installé au niveau de la carte foudre (enregistrement de l’intensité des impacts foudre) est vérifié au moins annuellement. |
Description |
Les systèmes de supervision industrielle (ICS ou SCADA) doivent être protégés contre tout accès non-autorisés, utilisation, diffusion d’information, modification ou destruction conformément à la politique de sûreté informatique d’ENGIE. Afin de structurer la gestion de ces éléments, ENGIE a développé un référentiel cybersécurité ICS avec un outil de reporting du niveau de maitrise qui permet aux sites de s’auto-évaluer et de suivre leur niveau de maitrise des enjeux sûreté. En déployant le référentiel cybersécurité ICS, le risqué cybersécurité peut être réduit à un niveau acceptable et les incidents peuvent être évités. Cependant, si des pays ou industries sont soumis à des exigences réglementaires, des mesures spécifiques en cybersécurité peuvent être obligatoires et des contrôles de cybersécurité supplémentaires peuvent être nécessaires. Pour toute recommandation sur cette section, se référer à :
|
Indicateurs |
Niveau général cybersécurité dans l’outil de reporting. Connection réseau sécurisée mise en place. |
Récurrence/Fréquence | N/A |
Description | Les cambriolages et actes de vandalisme dans une éolienne ou un parc éolien peuvent entrainer des dégâts et / ou des pertes de production. Les malfaiteurs pourraient également se blesser. Il est ainsi primordial de détecter et (dans la mesure du possible) empêcher toute intrusion. |
Indicateurs |
Systèmes de verrouillage et portes en place pour empêcher toute intrusion Systèmes de détection d’intrusion (ex: capteurs de portes) en place surveillés et correctement entretenus. Un plan de gestion de l’urgence est disponible et activé en cas d’intrusion. |
Récurrence/Fréquence | N/A |
Description | Un réseau instable peut entrainer des pertes importantes de productions et de plus fortes contraintes mécaniques. Il est ainsi important de prévoir une alimentation de secours qui permet de maintenir les éléments essentiels de la machine alimentés. Les machines pourront ainsi être arrêtées de manière sûre et les éléments importants pour la sécurité pour rester opérationnels. La machine peut redémarrer automatiquement quand les défaillances du réseau sont disparues. |
Indicateurs |
Alimentation de secours prévue et installations maintenue, inspectée et testée. Fréquence des défaillances réseau. Nota : cet indicateur est applicable uniquement pour les sites en exploitation depuis un temps raisonnable ; cet indicateur n’est pas applicable pour les sites qui ont récemment été mis en service / débuté l’exploitation. Nombre d’éoliennes en série. Ceci indique une propension plus ou moins importante à la perte de production en cas de coupure de câble / interruption sur la ligne vers la sous-station. |
Récurrence/Fréquence |
Un système de batteries UPS est remplacé de manière préventive après 10 ans. Le générateur de secours (si concerné) est démarré chaque semaine et une inspection visuelle est réalisée tous les 4 mois. |
Description | La présence simultanée de températures basses et d’un taux d’humidité élevé peut entrainer une accumulation de glace sur les pales des éoliennes. Quand la température augmente à nouveau, la glace peut être projetée et provoquer des dégâts. Un système de détection de la formation de glace arrête automatiquement l’éolienne quand les conditions sont propices à la formation de glace et empêche ainsi la projection de glace. La chute de glace tombant des pales à l’arrêt est inévitable. La zone de chute doit donc si besoin être protégée. |
Indicateurs |
An ice detection system is in place. This detection must use one mature technology certified with the turbine. Ice detection procedures exist and are used |
Récurrence/Fréquence |
Test annuel de la procédure du système de détection de glace. Procédure de détection de glace revue annuellement et les nouvelles procédures sont testées. |
Description |
Les risques principaux liés aux conditions météorologiques et environnementales sont les suivants :
Les risques liés à d’autres conditions météorologiques et environnementales extrêmes (inondations, températures) dont très variables en fonction de la localisation géographique des parcs éoliens. Concernant l’activité sismique, l’Eurocode 8 (ou équivalent local) définit les exigences spécifiques de conception de la résistance sismique des structures . Ces exigences et cette conception seront variables selon les conditions sismiques locales de la zone géographique d’implantation des parcs éoliens. Les documents suivants sont attendus du constructeur :
Définition: « Paramètres normaux de fonctionnement » : Les paramètres de vent (IEC class, rate wind speed, cut-in et cut-out), de température et densité d’air pour opération « normale » sont normalement repris sur le Type Certificate de la machine. Plus de paramètres peuvent être disponibles dans la spécification technique de la machine. |
Indicateurs |
Conformité entre le type de machine et la classe de vent (IEC 61400). Localisation du parc éolien. Revue des conditions climatiques faites lors du développement sur base des normes IEC 61400-1 et -24 (foudre). |
Récurrence/Fréquence | N/A |
3. Gestion des risques liés aux équipements critiques
L’objectif de ce chapitre est de vérifier que les mesures idoines sont prises quant à la gestion des risques liés aux équipements critiques.
Description |
Une organisation de maintenance internalisée ou un contrat de long-terme avec une société spécialisée permettront une disponibilité en temps ou une production garantie. Les équipements critiques doivent être identifiés, et il est important que le contrat de maintenance couvre suffisamment de pièce de rechange pour réaliser la maintenance requise par le fabricant. Les défaillances sur les équipements critiques peuvent causer des arrêts de longue durée. Les plans de continuité d’activité et les procédures de redémarrage sont nécessaires pour réduire ces délais en préparant les actions avant que les problèmes ne surviennent. L’accès au site est également un point clé si des pièces de taille importante doivent être transportées / manutentionnées. Définitions: « Equipement critique » : équipement dont la défaillance peut générer une période d’indisponibilité importante, tel que (non limité à) : pâles, roulement principal, multiplicateur, génératrice, roulement de pale, dispositif de rotation (yaw system) etc. « Disponibilité en temps garantie » : cette notion est définie dans le contrat de service. Selon les contrats, la notion de disponibilité garantie peut être en temps ou en énergie. |
Indicateurs |
Une stratégie de maintenance (internalisée ou contrat externe) est en place. Le contrat est géré afin que les accords soient respectés. Les pièces de rechange critiques sont identifiés et disponibles. Les contrats (BOP, grue, etc.) les pièces de rechange, la gestion des composants obsolètes, les procédures etc. sont en place sur la durée de vie du projet (et l’extension potentielle) afin de minimiser les arrêts de production. Le site est accessible facilement. |
Récurrence/Fréquence |
La stratégie sur le business plan est revue régulièrement et au moins à chaque évènement majeur sur la flotte et modifications contractuelles. Les procédures sont revues à chaque modification. |
Description |
Les pales sont soumises à de fortes pressions, des cycles de fatigue importants et des conditions climatiques variées. Surveiller l’état des pales est par conséquent crucial pour prévenir tout dommage qui pourrait être irréversible. Une maintenance adaptée des systèmes de rotation (pitch) est nécessaire pour garantir l’arrêt de production en cas de vents violents. Les recommandations d’ENGIE sont désormais :
Si certaines inspections sont inclues dans les contrats de maintenance, les résultats (images haute-résolution, accès plateforme web et rapports d’inspections) doivent être partagés par le turbinier et / ou le prestataire de maintenance. |
Indicateurs |
Inspections internes et externes de pales (inclus protection foudre) réalisées et des actions sont mise en place pour réparer les dégâts. La maintenance du système de rotation (pitch) est correctement réalisée et surveillée (échantillons de graisse, mesures d’écartement interne). |
Récurrence/Fréquence |
Inspection de pales tous les 2 ans. Analyse annuelle de graisse des roulements de pales. |
Description | Le roulement principal assure le maintien de l’arbre principal, du hub et des pales (ou de la génératrice, du hub et des pales pour les machines en entraînement direct). L’arbre lent peut être souffrir d’usure prématurée en conséquence de différents éléments (lubrification insuffisante ou de mauvaise qualité, effets de sillage du vent, turbulences du vent,…) remplacer le roulement principal est une opération délicate et coûteuse qui peut entraîner des temps d’indisponibilités importants. |
Indicateurs |
Disponibilité des équipements techniques et des techniques de maintenance du roulement principal. Existence d’analyses de vibration avec expertise associée et disponible pour la détection et les recommandations. Echantillons de graisse prélevés et analyses annuellement pour vérifier la propreté des graisses et la présence de particules d’usure. |
Récurrence/Fréquence | Surveillance annuelle. |
Description |
Le multiplicateur d’une éolienne est le lien entre les pales rotatives et la génératrice. Il est compose de nombreuses pièces tournantes soumis à usure. Une maintenance et une surveillance adaptée sont nécessaires pour empêcher tout dommage et ainsi respecter leur durée de vie estimée. Les analyses d’huile sont réalisées et il est recommandé qu’elles incluent les paramètres suivants : teneur en eau, viscosité, additifs, éléments d’usure (ICP), nombre et taille des particules, propreté de l’huile, indice PQ, couleur / aspect. |
Indicateurs |
La maintenance du multiplicateur est réalisée et surveillée de manière adaptée (niveau d’huile, propreté de l’huile, qualité de l’huile, températures) Inspections endoscopiques détaillées du multiplicateur réalisées si exigées après alarme du système de surveillance des vibrations (VMS) et confirmées par analyses des particules d’usure. VMS (Système de surveillance des vibrations) installé et analysé de manière adaptée avec une expertise en support. |
Récurrence/Fréquence |
Des échantillons de l’huile de lubrification du multiplicateur sont prélevés et analysés a minima annuellement. Une inspection endoscopique détaillée du multiplicateur est réalisées la première année après mise en service. |
Description | La génératrice est le cœur électrique de l’éolienne car elle convertit l’énergie de cinétique en énergie électrique. Elle est exposée à des charges très fluctuantes et, bien que les pannes ne soient pas très courantes dans l’industrie, le coût et le temps d’arrêt pour remplacer une génératrice peuvent être importants. |
Indicateurs |
La génératrice est équipée de capteurs de température (au niveau des bobinages et des roulements), de capteurs de vibrations et d’un système de graissage automatique. Un entretien régulier de la génératrice est effectué. Des mesures de résistance d’isolation sont réalisées. |
Récurrence/Fréquence |
Mesures de résistance d’isolation réalisée annuellement. Pour les machines de type DFIG, les collecteurs tournants (slip rings) sont nettoyés, mesurées et polis/poncés annuellement. |
Description |
La connexion au réseau des parcs éoliens consiste en des cellules électriques (moyenne/haute tension) et un transformateur (le poste de livraison). Le transformateur transforme l’électricité produite de moyenne tension en haute tension pour le réseau lorsqu’il en a besoin. L’appareillage électrique, est conçu pour connecter et déconnecter, détecter les défauts du réseau, et protéger le parc éolien. Une défaillance de l’un de ces composants conduit presque systématiquement à une indisponibilité du parc éolien complet, ou au moins d’une partie. Par ailleurs, des inspections et l’entretien du poste de livraison doivent également être réalisés. Il est recommandé qu’une étude de l’énergie incidente (arc flash) est réalisée sur les appareillages électriques (armoires électriques basse tension et cellules électriques moyenne et haute tension). Cette étude couvre donc les équipements présents en dehors, mais également à l’intérieur de l’éolienne. Des analyses d’huile et de gaz dissous devraient être réalisées sur les transformateurs selon les préconisations constructeurs. |
Indicateurs |
Un plan d’urgence existe pour le transformateur principal. Le transformateur et l’appareillage électrique sont correctement entretenus. Les analyses d’huile et de gaz dessous du transformateur sont réalisées. Le transformateur est protégé par un relais de type Bucholz ou équivalent. Etude de l’énergie incidente (arc flash). |
Récurrence/Fréquence |
La maintenance du poste de livraison se fait au moins une fois par an. L’huile du transformateur est analysée périodiquement (au moins tous les 3 ans). Les contrôles thermographiques sont faits annuellement sur les cellules haute et moyenne tensions (sous réserve que ces contrôles soient réalisables en toute sécurité). |