# Surveillance des enceintes thermostatiques à l'EFS : métrologie et analyse de risques

Jean Marc Reifenberg*¹

¹ Etablissement Français du Sang - 20 avenue du Stade de France - 93218 La Plaine-Saint-Denis Cedex

**Abstract.** La surveillance de la température des enceintes thermostatiques à l'EFS est réalisée à l'aide de témoins d'environnement reliés à un système de surveillance centralisé. Ils assurent ainsi la traçabilité des conditions de conservation des produits et leur sécurisation en générant des alarmes en cas de dysfonctionnement ou dérive de l'enceinte. Les dispositions d'usage pour vérifier périodiquement la conformité de l'enceinte et du témoin d'environnement sont la caractérisation et la vérification de la température de l'enceinte selon FDX 15-140, l'étalonnage du témoin d'environnement et déclaration de conformité par rapport au quart de l'Erreur Maximale Tolérée de l'enceinte surveillée. L'usage consiste ensuite à corriger les seuils d'alarmes de l'enceinte des résultats d'étalonnage. La pertinence de cette stratégie a été analysée, et consolidée par une Analyse Préliminaire des Risques du processus partant de l'étalonnage des témoins d'environnement jusqu'à la correction des seuils d'alarmes. Elles révèlent que l'ajustage des seuils est source de risques pour la sécurité des produits sans valeur ajoutée sur l'efficacité de la surveillance des enceintes. Les résultats de l'APR montrent un rapport bénéfice-risque défavorable à ces pratiques, l'augmentation du bruit de fond des alarmes et les risques techniques liés aux interventions régulières dans les paramétrages des GTC pour corriger les seuils sont préjudiciables.

## 1 Considérations métrologiques

L'intégralité des enceintes thermostatiques de l'Etablissement Français du Sang dédiées à la conservation des produits sanguins est surveillée en température à l'aide d'un témoin d'environnement (ou « sonde GTC ») positionné dans le volume utile. Selon les référentiels FDX 15-140 [1] et LAB GTA 24 [2], « l'erreur d'indication permet de caractériser la représentativité des valeurs affichées par l'indicateur ou le témoin d'environnement ». Une valeur d'erreur d'indication faible signifie ainsi que la sonde du témoin d'environnement est positionnée à un emplacement où la température est proche de la moyenne de l'air. Le raccordement au Système International d'unités des témoins d'environnement, considérés comme critiques, est une exigence règlementaire. Des recommandations (SH GTA 01 [3]), préconisent d'appliquer une méthode, émanant de règles de capabilité, pour définir des spécifications des témoins d'environnement (règle dite « du ¼ » : l'EMT du

<footnote>* Corresponding author: jean-marc.reifenberg@efs.sante.fr</footnote>
témoin d'environnement est inférieur au ¼ de l'EMT de l'enceinte surveillée), voire à
corriger les seuils d'alarme en prenant en compte les résultats d'étalonnage des témoins
d'environnement.

Cette stratégie d'ajustage de seuils sous-tend l'hypothèse que le contrôle de la température d'une enceinte repose sur les caractéristiques du témoin d'environnement, indépendamment des performances de l'enceinte, notamment en termes d'homogénéité. Le besoin initial, pour le stockage des produits ou la réalisation d'essais, dans des conditions de température conformes aux spécifications dans un volume pré défini, n'est ainsi que partiellement considéré.

Prenons l'exemple de la cartographie d'une enceinte à 22 °C ± 2 °C (témoin d'environnement : 21,7 °C) :

<figure><img src="image_1.png" /></figure>

Si on corrige les seuils d'alarme de l'EMT du témoin d'environnement (supposons +/- 0,5 °C, en application de la règle du quart de l'EMT de l'enceinte), les seuils deviennent 20,5 °C & 23,5 °C.

<figure><img src="image_2.png" /></figure>

Supposons une dérive, positive ou négative, de 1 °C.

<figure><img src="image_3.png" /></figure>
L'alarme ne se déclenchera pas. Pourtant, seuils corrigés ou pas :

- Dérive vers le haut : les produits stockés aux emplacements 6.7, 6.8, et 6.9 seront exposés à des conditions non conformes.

- Dérive vers le bas : les produits stockés aux emplacements 6.1, 6.2, 6.3, 6.4 et 6.5 seront exposés à des conditions non conformes.

Dans ce cas, la correction des seuils n'apporte pas de valeur ajoutée sur l'efficacité des alarmes. Ceci est extrapolable aux enceintes peu homogènes, d'autant plus que pour que la traçabilité soit représentative des performances globales de l'enceinte, le témoin d'environnement est souvent placé à une position où la température est proche de la température moyenne de l'enceinte.

En cas de panne soudaine de l'enceinte, l'alarme se déclenchera certes un peu plus tôt si les seuils sont corrigés (sous réserve de délais de latence adaptés, et en prenant en compte aussi l'environnement de mesure, sonde dans l'air ou immergée) ; mais selon la position de la sonde, et compte tenu du fait que l'incertitude d'étalonnage des témoins d'environnement est souvent inférieure au biais d'homogénéité, certains produits seront déjà exposés à des conditions de températures non conformes avant que l'alarme ne se déclenche.

En résumé, les réponses qui nous apparaissent les plus pertinentes d'un point de vue métrologique, sont les suivantes :

- Cartographier une enceinte en température permet de vérifier sa conformité pour une utilisation donnée. S'assurer de la pérennité des performances passe par des cartographies périodiques, ou des méthodes alternatives permettant de suivre notamment l'homogénéité de l'enceinte, comme celle décrite dans le fascicule de documentation FDV 08-601 [4].

- Etalonner et vérifier le témoin d'environnement permet d'exprimer une incertitude acceptable sur la traçabilité et sur le déclenchement des alarmes de ce témoin d'environnement à une position donnée dans le volume exploité de l'enceinte. En aucun cas, un témoin d'environnement, considéré individuellement, est garant de la conformité de l'ensemble du volume utile de l'enceinte.

- Corriger les seuils d'alarmes des résultats d'étalonnage du témoin d'environnement n'apporte pas de gain probant sur l'efficacité des alarmes en regard de la conformité de la température de stockage ou d'essai, dans l'ensemble du volume exploité par l'utilisateur.

Afin de pousser plus loin la réflexion, une analyse a été menée afin d'évaluer les risques associés à la prise en compte, dans les seuils d'alarmes, des résultats d'étalonnage des témoins d'environnement.

## 2 Analyse Préliminaire des Risques (APR).

### 2.1 Rappel de la méthode

L'analyse Préliminaire des Risques est une méthode d'analyse de risques exhaustive dite inductive. Elle permet d'identifier, d'évaluer et de réduire les risques en prenant en compte toutes les sources de dangers. Elle se compose des étapes suivantes :

- Définition du périmètre de l'analyse et description du processus étudié.

- Elaboration de la cartographie des situations dangereuses.
- Définition des échelles de gravité et de vraisemblance, puis constitution de la matrice de criticité (référentiel d'acceptabilité du risque).

- Réalisation de l'analyse des scénarios à risques.

- Mise en place des actions de réductions des risques pour les scénarios de criticités non acceptables, et surveillance de leur efficacité.

## 2.2 Processus objet de l'analyse

Bien que le cœur du sujet porte sur la correction des seuils d'alarme, l'APR a été étendue à l'ensemble du processus d'étalonnage des témoins d'environnement [5] (Tableau 1).

<table><caption>Tableau 1. Processus objet de l'APR</caption><thead><tr><th></th><th>Préparer</th><th colspan="3">Etalonner</th><th colspan="3">Adapter les seuils</th></tr></thead><tbody><tr><th>Installer le matériel d'étalonnage</th><td>Préparer le témoin d'environnement</td><td>Positionner les sondes</td><td>Relever les valeurs et exploiter</td><td>Ajuster si besoin</td><td>Entrer dans le système GTC</td><td>Corriger les seuils</td><td>Remettre en service le système</td></tr></tbody></table>

## 2.3 Cartographie des situations dangereuses

Cette étape consiste, dans un premier temps, à décliner à partir d'une liste de dangers génériques, les dangers spécifiques auxquels le processus étudié est exposé, ainsi que les éléments ou les évènements dangereux. Ensuite, les situations dangereuses sont identifiées en repérant les interactions entre les différentes étapes du processus et des dangers, puis quantifiées afin de construire la cartographie des situations dangereuses
Cette étape permet ainsi de prioriser le traitement des situations dangereuses issues d'une forte interaction. Au total, 84 situations dangereuses de niveau 1 ont été identifiées dans notre processus, donc à traiter en priorité.

## 2.4 Echelle de gravité et de vraisemblance, matrice de criticité

L'échelle des gravités (Tableau 2) permet de définir l'impact des situations dangereuses en termes de préjudices ou de dommages sur le processus. Cette échelle comporte 5 niveaux. Les trois premiers (G1, G2, G3) caractérisent des dommages concernant les performances du système, les deux derniers (G4, G5) caractérisent la dégradation ou l'échec des performances et/ou de la sécurité du système.
<table><caption>Tableau 2. Echelle de gravité</caption><thead><tr><th>Index</th><th>Classes de gravité</th><th>Sous Index</th><th>Intitulé des conséquences</th></tr></thead><tbody><tr><td rowspan="6">G1</td><td rowspan="6">mineure</td><td>10</td><td>MISSION DEGRADEE : Dégradation des performances sans impact sur la sécurité de l'activité - impact réversible sur la performance</td></tr><tr><td>11</td><td>Impact organisationnel (retard ...)</td></tr><tr><td>12</td><td>Perte ou dégradation ponctuelle de la traçabilité</td></tr><tr><td>13</td><td>Impact fonctionnel mineur</td></tr><tr><td>14</td><td></td></tr><tr><td>15</td><td></td></tr><tr><td rowspan="6">G2</td><td rowspan="6">significative</td><td>20</td><td>MISSION ECHOUEE : Forte dégradation ou échec des performances sans impact sur la sécurité - impact irréversible sur la performance</td></tr><tr><td>21</td><td>Intervention irréalisable ou dégradée</td></tr><tr><td>22</td><td>Perte totale de traçabilité</td></tr><tr><td>23</td><td>Panne irréparable</td></tr><tr><td>24</td><td></td></tr><tr><td>25</td><td></td></tr><tr><td rowspan="6">G3</td><td rowspan="6">grave</td><td>30</td><td>SECURITE DES BIENS DES SERVICES ET DES PRODUITS IMPACTEE : Dégradation de la sécurité des biens, des services et des produits - impact sur la sécurité des biens et des produits</td></tr><tr><td>31</td><td>Retard pour la distribution de produits ou la réalisation des analyses</td></tr><tr><td>32</td><td>Dégradation de la qualité &amp; sécurité des produits et des résultats d'analyse</td></tr><tr><td>33</td><td>Dégradations &amp; pertes matérielles</td></tr><tr><td>34</td><td></td></tr><tr><td>35</td><td></td></tr><tr><td rowspan="6">G4</td><td rowspan="6">critique</td><td>40</td><td>SECURITE DES PERSONNES DEGRADEE : Dégradation de la sécurité des personnes et/ou du système - impact réversible sur la sécurité des personnes</td></tr><tr><td>41</td><td>Dommages corporels graves</td></tr><tr><td>42</td><td>Désorganisation de l'activité</td></tr><tr><td>43</td><td>Détérioration de l'image et de la confiance auprès des usagers et autorités</td></tr><tr><td>44</td><td></td></tr><tr><td>45</td><td></td></tr><tr><td rowspan="6">G5</td><td rowspan="6">catastrophique</td><td>50</td><td>SECURITE DES PERSONNES ECHOUEE : Echec de la sécurité des personnes et/ou du système - impact irréversible sur la sécurité des personnes</td></tr><tr><td>51</td><td>Décès, invalidité totale</td></tr><tr><td>52</td><td>Pertes de produits</td></tr><tr><td>53</td><td>Fermeture administrative</td></tr><tr><td>54</td><td></td></tr><tr><td>55</td><td></td></tr></tbody></table>

L'échelle des vraisemblances (Tableau 3) permet de définir la probabilité d'apparition des conséquences du risque. Elle comporte également 5 niveaux définis à partir d'une unité de temps dérivée de la durée totale du projet.

<table><caption>Tableau 3. Echelle de vraisemblance (basé sur une unité de 12 mois)</caption><thead><tr><th>Index</th><th>Classes de vraisemblance</th><th>Fréquences associées</th><th>T (Périodes de retour)</th></tr></thead><tbody><tr><td>V1</td><td>Impossible à improbable</td><td>Moins d'1 fois par T1</td><td></td></tr><tr><td>T1</td><td></td><td></td><td>12 mois</td></tr><tr><td>V2</td><td>Très peu probable</td><td>Entre 1 fois par T1 et 1 fois par T2</td><td></td></tr><tr><td>T2</td><td></td><td></td><td>6 mois</td></tr><tr><td>V3</td><td>Peu probable</td><td>Entre 1 fois par T2 et 1 fois par T3</td><td></td></tr><tr><td>T3</td><td></td><td></td><td>3 mois</td></tr><tr><td>V4</td><td>Probable</td><td>Entre 1 fois par T3 et 1 fois par T4</td><td></td></tr><tr><td>T4</td><td></td><td></td><td>1 mois</td></tr><tr><td>V5</td><td>Très probable à certain</td><td>Plus d'une fois par T4</td><td></td></tr></tbody></table>

A chaque classe de risque est attribuée une criticité. Cette étape aboutit au référentiel d'acceptabilité (Tableau 4) qui relève de la fonction managériale.
<table><caption>**Tableau 4.** Matrice de criticité (référentiel d'acceptabilité)</caption><thead><tr><th rowspan="2"></th><th rowspan="2"></th><th colspan="5">Gravité</th></tr><tr><th>G1</th><th>G2</th><th>G3</th><th>G4</th><th>G5</th></tr></thead><tbody><tr><th rowspan="5">Vraisemblance</th><th>V5</th><td>2</td><td>2</td><td>3</td><td>3</td><td>3</td></tr><tr><th>V4</th><td>1</td><td>2</td><td>2</td><td>3</td><td>3</td></tr><tr><th>V3</th><td>1</td><td>2</td><td>2</td><td>3</td><td>3</td></tr><tr><th>V2</th><td>1</td><td>1</td><td>2</td><td>2</td><td>3</td></tr><tr><th>V1</th><td>1</td><td>1</td><td>1</td><td>2</td><td>2</td></tr></tbody></table>

L'échelle de criticité est l'outil de décision relatif au degré d'acceptabilité du risque. La criticité d'un risque se définit selon 3 niveaux, présentés dans le Tableau 5.

<table><caption>**Tableau 5.** Outil de décision en fonction de la criticité</caption><thead><tr><th>Index</th><th>Classes de criticité</th><th>Intitulés des décisions et des actions</th></tr></thead><tbody><tr><td>C1</td><td>Acceptable</td><td>Aucune action n'est à entreprendre</td></tr><tr><td>C2</td><td>Tolérable sous contrôle</td><td>On doit organiser un suivi en termes de gestion des risques et de transfert (assurance)</td></tr><tr><td>C3</td><td>inacceptable</td><td>On doit refuser la situation et prendre des mesures en réduction des risques. On doit refuser toute ou partie de l'activité</td></tr></tbody></table>

## 2.5 Synthèse des résultats de l'APR scénarios

L'analyse des 84 situations dangereuses de niveau 1 a permis d'identifier 101 scénarios d'accidents de criticité C2 se concentrant essentiellement au niveau des dangers génériques systèmes d'information, matériels et équipements, ressources humaines, facteur humain et opérationnels (Tableau 6).

<table><caption>**Tableau 6.** Répartition des scénarios selon les catégories de dangers</caption><thead><tr><th></th><th>Dangers génériques</th><th>Index</th><th>SD</th><th>Scénarios</th></tr></thead><tbody><tr><td>1</td><td>Programmatique</td><td>Progr</td><td>2</td><td>2</td></tr><tr><td>2</td><td>Infrastructures et locaux</td><td>Infra</td><td>6</td><td>6</td></tr><tr><td>3</td><td>Matériels et équipements</td><td>Matér</td><td>20</td><td>31</td></tr><tr><td>4</td><td>Système d'information</td><td>Systè</td><td>32</td><td>33</td></tr><tr><td>5</td><td>Opérationnel</td><td>Opéra</td><td>10</td><td>13</td></tr><tr><td>6</td><td>Ressources humaines & Facteur humain</td><td>Resso</td><td>12</td><td>13</td></tr><tr><td>7</td><td>Hygiène & sécurité</td><td>Hygiè</td><td>2</td><td>3</td></tr><tr><td></td><td></td><td>TOTAL</td><td>84</td><td>101</td></tr></tbody></table>
### 2.5.1 Risques initiaux (Fig. 1) :

Trois principales catégories de scénarios de criticité C2 sont recensées :

* Scénarios issus de défauts de maitrise des procédures d'étalonnage sur site (méthode, corrections et ajustages, bilans d'incertitudes, fichiers d'exploitation des résultats...).

* Scénarios impliquant une intervention dans les paramétrages de GTC : soit au moment de l'étalonnage du témoin d'environnement (en particulier pour synchroniser les mesures avec celles de l'étalon), soit au moment de la correction des seuils.

* Scénarios concernant des opérations en milieu « à risque » (zones cryogéniques).

<figure><img src="image_4.png" /><figcaption>Fig. 1. Risques initiaux</figcaption></figure>

### 2.5.2 Risques résiduels (Fig. 2)

Après actions de réduction des risques sur les causes contacts et/ou les causes amorces :

* Scénarios issus de défauts de maitrise des procédures d'étalonnage sur site (méthode, corrections et ajustages, bilans d'incertitudes, fichiers d'exploitation des résultats...). Les actions de réductions de risques sont l'harmonisation des pratiques avec la rédaction de documents nationaux, et l'intégration de points techniques à aborder systématiquement pendant les audits métrologie nationaux.

* Scénarios impliquant une intervention sur les paramétrages de GTC. Les scénarios impliquant une intervention sur les paramétrages de GTC au moment de l'étalonnage du témoin d'environnement, ou au moment de la correction des seuils, nécessitent une sécurisation de l'action pour réduire la criticité en acceptable.

* Scénarios concernant des prestations en milieu à risque (zones cryogéniques) Les actions de réductions de risques consistent à surveiller les dispositions en termes de sécurité au travers des audits nationaux.

<figure><img src="image_5.png" /><figcaption>Fig. 2. Risques résiduels</figcaption></figure>
3 Conclusion générale

La correction des seuils des résultats d'étalonnage des témoins d'environnement ne garantit
pas une meilleure efficacité des systèmes d'alarmes.

L'APR du processus partant de l'hypothèse que les seuils sont néanmoins corrigés révèle
que cette pratique comporte des risques sur la sécurité des produits. Le besoin en ressources
humaines pour mettre en place et sécuriser ces pratiques au niveau national, si elles
devaient être généralisées, a été estimé de 0,4 à 1,3 ETP (Equivalent Temps Plein) selon les
hypothèses.

Ces risques sont diminués lorsque cette opération est sécurisée. Mais compte tenu du
rapport bénéfices / risques, il est recommandé de ne pas corriger les seuils, et de
n'intervenir dans les paramétrages des alarmes que lorsque cela est indispensable, en
particulier lors des opérations d'étalonnage, à des fins de synchronisation instrumentales.

Références

1. FDX 15-140 : *Mesure de l'humidité de l'air - Enceintes climatiques et thermostatiques Caractérisation et vérification* (Fascicule de documentation AFNOR, 2013).

2. LAB GTA 24 : *Guide technique d'accréditation pour la caractérisation et la vérification des enceintes thermostatiques et climatiques, fours, bains thermostatés* (guide COFRAC, 2009).

3. SH GTA 01 : *Guide Technique d'Accréditation en biologie médicale* (guide COFRAC, 2015).

4. FDV 08-601 : *Enceintes thermostatiques : Caractérisation, vérification et suivi quotidien* (Fascicule de documentation AFNOR, 2005).

5. J.M. Reifenberg, Analyse de risque APR : *Etalonnage des témoins d'environnement* (rapport interne EFS, 2016).

Je remercie le réseau national des responsables métrologie de l'EFS pour sa contribution à ce travail