AMDEC : méthode, cotation et exemple d’analyse des modes de défaillance
Une pompe s’arrête, un capteur transmet une information erronée, un opérateur oublie une étape ou un composant se dégrade prématurément. Derrière chaque défaillance se trouvent des causes, des effets et des moyens de prévention dont l’efficacité mérite d’être analysée.
L’AMDEC, ou analyse des modes de défaillance, de leurs effets et de leur criticité, est une méthode structurée permettant d’identifier les défaillances potentielles d’un produit, d’un procédé ou d’un équipement avant qu’elles ne provoquent un incident, une non-conformité, une interruption de production ou un accident.
Utilisée pour analyser les équipements et les fonctions critiques, elle peut également contribuer à une démarche plus globale de sécurité des procédés, en complément d’autres méthodes comme l’APR, l’HAZOP, le Bow-Tie ou la LOPA.
La méthode est souvent associée à une formule :
Criticité=Graviteˊ× Occurrence × Détection
Mais réduire l’AMDEC à ce calcul serait passer à côté de l’essentiel.
Sa véritable valeur réside dans le raisonnement collectif qu’elle impose :
- que doit accomplir le système étudié ?
- comment peut-il ne plus remplir sa fonction ?
- quelles seraient les conséquences de cette défaillance ?
- pourquoi pourrait-elle se produire ?
- quelles barrières permettent actuellement de la prévenir ou de la détecter ?
- quelles actions permettraient de mieux la maîtriser ?
L’indice de criticité aide à hiérarchiser les situations, mais il ne décide pas à la place du groupe de travail. Deux scénarios très différents peuvent obtenir le même résultat numérique, tandis qu’une conséquence particulièrement grave ne devrait pas être écartée au seul motif que son occurrence paraît faible.
Dans ce guide, nous verrons comment préparer et conduire une AMDEC, construire des échelles de cotation adaptées, exploiter les résultats et éviter les principales limites de la méthode. Un exemple industriel permettra également de suivre l’analyse depuis la définition des fonctions jusqu’à la réévaluation des risques après la mise en œuvre des actions.
Une AMDEC réussie ne produit pas seulement un indice de criticité : elle rend les défaillances discutables avant qu’elles ne deviennent réelles.
1. Qu’est-ce que l’AMDEC ?
L’AMDEC signifie Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité. Il s’agit d’une méthode d’analyse structurée qui cherche à comprendre comment un produit, un équipement, un système ou un processus pourrait ne plus remplir correctement les fonctions attendues.
La logique de l’AMDEC consiste à partir de chaque élément ou fonction étudiée, puis à examiner successivement :
ses modes de défaillance possibles ;
les effets de ces défaillances ;
leurs causes potentielles ;
les moyens existants pour les prévenir ou les détecter ;
leur niveau de criticité ;
les actions complémentaires à mettre en œuvre.
La norme IEC 60812:2018 présente l’analyse des modes de défaillance et de leurs effets comme une méthode systématique permettant d’identifier comment des éléments ou des processus peuvent ne pas accomplir leur fonction. Lorsque l’analyse comporte également une hiérarchisation fondée au minimum sur la gravité des conséquences, elle prend la forme d’une analyse des modes de défaillance, de leurs effets et de leur criticité.
Du mode de défaillance à ses conséquences
L’AMDEC repose sur plusieurs notions qu’il est important de ne pas confondre.
| Notion | Question posée | Exemple pour une pompe |
|---|---|---|
| Fonction | Que doit faire l’élément ? | Transférer un liquide avec le débit attendu |
| Mode de défaillance | De quelle manière peut-il ne plus remplir sa fonction ? | Débit insuffisant |
| Effet | Que se passe-t-il si cette défaillance survient ? | Alimentation insuffisante du procédé |
| Cause | Pourquoi cette défaillance pourrait-elle se produire ? | Usure de la roue, obstruction ou cavitation |
| Moyen de maîtrise | Comment la prévient-on ou la détecte-t-on ? | Maintenance préventive, contrôle du débit, alarme |
| Action | Que faut-il améliorer ? | Ajouter une surveillance ou modifier la conception |
Cette distinction est essentielle. Une cause n’est pas un mode de défaillance et un effet n’est pas nécessairement une cause. Une même cause peut provoquer plusieurs modes de défaillance, tandis qu’un même mode peut entraîner différents effets selon le niveau du système auquel on se place.
Par exemple, la perte de débit d’une pompe peut être considérée comme l’effet de l’usure d’un composant, mais elle peut également devenir la cause d’un défaut d’alimentation pour l’étape suivante du procédé. Le périmètre et le niveau d’analyse doivent donc être clairement définis avant de commencer.
Quelle différence entre AMDE et AMDEC ?
Au sens strict, il convient de distinguer :
l’AMDE, qui identifie les modes de défaillance et étudie leurs effets ;
l’AMDEC, qui complète cette analyse par une évaluation de leur criticité afin d’aider à les hiérarchiser.
Cette distinction correspond aux termes anglais FMEA (Failure Modes and Effects Analysis) et FMECA (Failure Modes, Effects and Criticality Analysis).
Dans la pratique française, le terme AMDEC est toutefois fréquemment utilisé pour désigner l’ensemble de la démarche, y compris lorsque les modalités de calcul ou de hiérarchisation varient d’une organisation à l’autre.
Une méthode préventive et évolutive
L’AMDEC est particulièrement utile lorsqu’elle est engagée suffisamment tôt pour permettre de modifier un produit, un équipement ou un processus avant sa mise en service. Elle peut également être appliquée à une installation existante, notamment après une modification, un incident, l’apparition d’un nouveau retour d’expérience ou l’évolution des conditions d’exploitation.
Elle ne doit donc pas être considérée comme un tableau rempli une fois pour toutes. Les défaillances envisagées, les connaissances disponibles et l’efficacité des moyens de maîtrise peuvent évoluer. L’AMDEC gagne à être mise à jour lorsque la conception, les paramètres de fonctionnement, les procédés ou les conditions d’utilisation sont modifiés. Cette logique de document évolutif est également retenue dans les référentiels appliqués aux systèmes complexes.
L’AMDEC consiste d’abord à comprendre comment une fonction peut être perdue ou dégradée. La cotation intervient ensuite pour éclairer les priorités d’action.
2. À quoi sert une AMDEC ?
L’AMDEC sert à anticiper les défaillances susceptibles d’affecter un produit, un équipement ou un processus afin de décider des mesures à prendre avant qu’elles ne produisent leurs conséquences.
Elle peut poursuivre plusieurs objectifs complémentaires.
Identifier les défaillances avant qu’elles ne surviennent
Le premier objectif est préventif. Plutôt que d’attendre une panne, une non-conformité ou un incident pour en rechercher les causes, le groupe de travail imagine les différentes façons dont chaque fonction pourrait être perdue, dégradée ou réalisée de manière incorrecte.
Cette analyse peut notamment faire apparaître :
une fonction qui pourrait ne pas être assurée ;
un fonctionnement intempestif ;
une performance insuffisante ou excessive ;
une défaillance intermittente ;
une perte progressive de performance ;
une défaillance uniquement présente dans certaines conditions d’utilisation.
L’AMDEC rend ainsi visibles des scénarios qui n’avaient pas nécessairement été envisagés lors de la conception ou de l’organisation du processus.
Améliorer la fiabilité, la qualité et la sécurité
Les effets recherchés dépendent de l’objet étudié. Une AMDEC peut contribuer à :
améliorer la fiabilité d’un équipement ;
prévenir les défauts d’un produit ;
réduire les arrêts et les pertes de production ;
limiter les erreurs au sein d’un processus ;
améliorer la maintenabilité d’une installation ;
prévenir certaines situations dangereuses ;
réduire les conséquences d’une défaillance lorsqu’elle ne peut pas être totalement évitée.
La méthode ne se limite donc pas à la sécurité. Une même défaillance peut avoir simultanément des conséquences humaines, techniques, environnementales, économiques ou qualitatives.
Par exemple, la défaillance d’un système de refroidissement peut provoquer une baisse de rendement, altérer la qualité du produit, endommager un équipement et, dans certaines conditions, contribuer à une situation dangereuse.
Hiérarchiser les besoins d’action
Toutes les défaillances identifiées ne nécessitent pas le même niveau de traitement. L’évaluation de leur criticité permet de comparer les scénarios et d’orienter les ressources vers ceux qui méritent une attention prioritaire.
Cette hiérarchisation peut tenir compte :
de la gravité des effets ;
de la fréquence ou de la probabilité d’apparition ;
de la capacité à détecter la défaillance avant qu’elle ne produise ses conséquences ;
d’autres critères retenus par l’organisation.
La norme IEC 60812 précise que les modes de défaillance peuvent être classés afin d’aider à prendre les décisions relatives à leur traitement.
La criticité constitue toutefois une aide à la décision, et non une décision automatique. Le classement numérique doit toujours être confronté à la nature des conséquences, aux incertitudes de l’analyse et aux exigences applicables.
Vérifier les moyens de prévention et de détection
L’AMDEC ne consiste pas seulement à imaginer ce qui pourrait mal fonctionner. Elle permet également d’examiner les dispositions déjà en place :
la conception empêche-t-elle la défaillance ?
une maintenance permet-elle de réduire sa probabilité ?
la dégradation peut-elle être détectée suffisamment tôt ?
une alarme est-elle réellement visible et comprise ?
une défaillance unique peut-elle entraîner directement une conséquence grave ?
les moyens de maîtrise sont-ils adaptés aux conditions réelles d’exploitation ?
Cette étape évite de considérer l’existence d’un contrôle, d’une alarme ou d’une procédure comme une garantie suffisante sans examiner son efficacité réelle.
Formaliser et transmettre les connaissances
Une AMDEC bien construite constitue également une mémoire technique du système. Elle rassemble dans un même document :
les fonctions attendues ;
les défaillances connues ou envisagées ;
les retours d’expérience ;
les hypothèses utilisées ;
les moyens de maîtrise existants ;
les décisions prises ;
les actions restant à réaliser.
Elle permet ainsi de conserver les raisonnements qui ont conduit aux choix de conception, de maintenance ou d’exploitation. Elle facilite également la transmission des connaissances lorsque les équipes ou les équipements évoluent
Faire dialoguer les différents métiers
Enfin, l’un des principaux intérêts de l’AMDEC réside dans son caractère collectif. Sa qualité dépend moins du tableau utilisé que de la diversité des connaissances réunies autour de celui-ci.
Concepteurs, exploitants, mainteneurs, automaticiens, spécialistes qualité et professionnels HSE ne perçoivent pas les mêmes modes de défaillance. Leur confrontation permet de rapprocher les intentions de conception des conditions réelles d’utilisation.
L’AMDEC ne sert pas uniquement à classer des défaillances. Elle permet de transformer des connaissances dispersées en décisions collectives de maîtrise.
3. Quels sont les différents types d’AMDEC ?
Il n’existe pas une seule AMDEC applicable de manière identique à toutes les situations. La méthode doit être adaptée à l’objet étudié, au niveau de détail recherché et aux décisions qu’elle doit éclairer.
La norme IEC 60812 prévoit une application large de la méthode : matériels, logiciels, processus, actions humaines et interfaces entre ces différents éléments. Elle recommande donc d’adapter l’analyse à son contexte plutôt que d’imposer un format unique.
Dans la pratique industrielle, quatre grandes familles d’AMDEC sont couramment distinguées.
L’AMDEC système
L’AMDEC système analyse un ensemble composé de plusieurs sous-systèmes, équipements ou fonctions en interaction.
Elle cherche notamment à identifier :
- la perte d’une fonction globale ;
- les effets d’une défaillance sur les autres parties du système ;
- les défaillances liées aux interfaces ;
- les possibilités de propagation d’un défaut ;
- les conséquences locales et globales.
Elle peut être utilisée dès les premières étapes d’un projet, lorsque les choix d’architecture peuvent encore être modifiés.
Pour une installation de transfert de produit, l’AMDEC système pourrait par exemple étudier les interactions entre la cuve, la pompe, les tuyauteries, les vannes, l’instrumentation, les automatismes et les utilités nécessaires au fonctionnement.
L’AMDEC produit ou conception
L’AMDEC produit, également appelée AMDEC conception, porte sur la manière dont un produit ou un équipement a été conçu.
Elle vise à déterminer si les choix de conception permettent de satisfaire durablement les fonctions et les exigences attendues. Elle peut porter sur :
- le dimensionnement des composants ;
- les matériaux utilisés ;
- les assemblages ;
- les tolérances ;
- les conditions d’utilisation ;
- les interfaces entre les composants ;
- les conséquences d’une dégradation ou d’une rupture.
Pour une pompe, l’analyse pourrait notamment examiner l’usure de la garniture, la rupture d’un accouplement, la détérioration d’un roulement, la corrosion d’un composant ou l’inadaptation d’un matériau au produit transféré.
L’objectif est de réduire les défaillances par la conception avant de compter sur les contrôles, la maintenance ou les consignes d’utilisation.
L’AMDEC processus
L’AMDEC processus analyse les défaillances susceptibles de survenir au cours d’une activité de fabrication, d’assemblage, de maintenance, de logistique ou de réalisation d’un service.
Elle s’intéresse moins à la conception intrinsèque du produit qu’à la manière dont les différentes étapes sont exécutées.
Elle peut notamment faire apparaître :
- une étape oubliée ou réalisée dans le mauvais ordre ;
- un réglage incorrect ;
- l’utilisation d’un mauvais composant ;
- une erreur de dosage ;
- une contamination ;
- un défaut de contrôle ;
- une information mal transmise ;
- une opération impossible à réaliser dans les conditions prévues.
L’analyse doit intégrer les conditions réelles de réalisation du travail : variabilité des situations, accessibilité, charge de travail, compétences nécessaires, interfaces organisationnelles et possibilités de récupération d’une erreur.
Dans le secteur automobile, le référentiel commun AIAG-VDA distingue notamment l’AMDEC de conception et l’AMDEC de processus. Il prévoit également une analyse complémentaire consacrée à la surveillance et à la réponse du système.
L’AMDEC moyen
L’AMDEC moyen porte sur les équipements et ressources nécessaires à la réalisation d’un processus : machines, outillages, moyens de contrôle, installations ou utilités.
Elle cherche à identifier les défaillances susceptibles d’entraîner :
- une indisponibilité de l’équipement ;
- une perte de cadence ;
- une dérive de performance ;
- un défaut de qualité ;
- une situation dangereuse ;
- une augmentation des besoins de maintenance.
Elle est particulièrement utile pour définir ou améliorer une stratégie de maintenance, déterminer les composants critiques, prévoir les pièces de rechange et identifier les besoins de surveillance.
Une AMDEC moyen appliquée à une pompe pourrait, par exemple, conduire à examiner la perte d’alimentation électrique, la dégradation des roulements, la fuite de la garniture, l’obstruction de l’aspiration ou le défaut d’un capteur utilisé pour sa surveillance.
Des catégories qui peuvent se compléter
Ces différentes AMDEC ne sont pas indépendantes les unes des autres.
Une défaillance de conception peut rendre une opération difficile à réaliser. Une erreur dans le processus peut endommager un équipement. Une défaillance d’un moyen de production peut ensuite provoquer un défaut sur le produit.
| Type d’AMDEC | Objet principal | Question centrale |
|---|---|---|
| Système | Architecture et interactions | Comment le système peut-il perdre ses fonctions ? |
| Produit ou conception | Caractéristiques techniques | Comment la conception peut-elle être défaillante ? |
| Processus | Étapes de réalisation | Comment l’activité peut-elle produire un résultat incorrect ? |
| Moyen | Équipement de production ou de contrôle | Comment le moyen peut-il devenir indisponible ou dériver ? |
Le choix ne doit donc pas dépendre uniquement de l’intitulé habituellement utilisé par l’entreprise. Il doit partir de la question à résoudre et du périmètre sur lequel il est encore possible d’agir.
Avant de choisir un tableau AMDEC, il faut d’abord déterminer ce que l’on souhaite analyser : le système, sa conception, son processus de réalisation ou les moyens nécessaires à son fonctionnement.
4. Les notions essentielles à maîtriser avant de réaliser une AMDEC
Une AMDEC ne consiste pas à remplir immédiatement des colonnes de cotation. Elle repose d’abord sur un raisonnement structuré : une cause peut provoquer un mode de défaillance, lequel entraîne un ou plusieurs effets. Les moyens de maîtrise cherchent à prévenir cette cause, à détecter la défaillance ou à en limiter les conséquences.
Fonction → Mode de défaillance → Effet → Cause → Moyen de maîtrise
Lorsque ces notions sont mal définies ou confondues, la cotation perd rapidement sa signification.
La fonction : que doit accomplir l’élément étudié ?
Une fonction exprime ce que le produit, l’équipement ou l’étape du processus doit réaliser.
Elle doit être formulée de manière suffisamment précise pour permettre ensuite d’imaginer ses défaillances. Elle peut intégrer une performance attendue ou une condition de fonctionnement.
Pour une pompe, la fonction ne serait pas simplement « pomper », mais par exemple :
Transférer le produit de la cuve A vers la cuve B avec un débit compris entre 20 et 25 m³/h.
Cette formulation fait apparaître plusieurs possibilités de défaillance : absence de transfert, débit insuffisant, débit excessif, transfert intermittent ou transfert vers une mauvaise destination.
Une fonction mal définie conduit généralement à des modes de défaillance trop vagues.
Le mode de défaillance : comment la fonction peut-elle être perdue ou dégradée ?
Le mode de défaillance décrit la manière observable dont un élément ne remplit plus sa fonction ou la remplit incorrectement.
Il peut correspondre à :
une absence de fonction ;
une perte totale ou partielle ;
une performance insuffisante ;
une performance excessive ;
un fonctionnement intempestif ;
un fonctionnement intermittent ;
une fonction réalisée trop tôt ou trop tard ;
une fonction réalisée dans le mauvais sens.
Pour la fonction de transfert précédente, les modes de défaillance pourraient être :
absence de débit ;
débit insuffisant ;
débit excessif ;
débit instable ;
inversion du sens de transfert ;
fuite de produit pendant le transfert.
Il est préférable de décrire le mode de défaillance sans intégrer immédiatement sa cause. L’expression « absence de débit due à une roue usée » mélange déjà deux niveaux différents de l’analyse.
L’effet : que se passe-t-il si la défaillance survient ?
L’effet correspond à la conséquence du mode de défaillance.
Il peut être étudié à plusieurs niveaux :
effet local sur le composant ou l’équipement ;
effet au niveau supérieur sur le sous-système ou le procédé ;
effet final sur la production, la qualité, la sécurité, l’environnement ou l’utilisateur.
Par exemple, une absence de débit peut conduire à :
l’arrêt du transfert au niveau de la pompe ;
une alimentation insuffisante de l’étape suivante ;
un arrêt de production ;
une montée en température du procédé ;
une situation dangereuse si le refroidissement d’un équipement n’est plus assuré.
Le niveau retenu doit être explicite. Si certains participants évaluent l’effet local alors que d’autres évaluent la conséquence finale, les notes de gravité ne seront pas comparables.
La cause : pourquoi la défaillance pourrait-elle se produire ?
La cause décrit le mécanisme ou la situation susceptible de provoquer le mode de défaillance.
Pour une absence de débit, les causes peuvent notamment être :
une perte d’alimentation électrique ;
une obstruction de la tuyauterie ;
une vanne fermée ;
une cavitation ;
une détérioration de la roue ;
un défaut de commande ;
une erreur de configuration ;
une maintenance incorrectement réalisée.
Une cause doit être formulée à un niveau sur lequel il est possible d’agir. La mention « erreur humaine » est généralement trop générale pour définir une action pertinente. Il faut chercher les conditions ayant rendu cette erreur possible : information ambiguë, repérage insuffisant, accessibilité difficile, charge de travail, interface inadaptée ou procédure ne correspondant pas au travail réel.
Les moyens de prévention et de détection
Les moyens de maîtrise existants sont les dispositions déjà en place pour éviter l’apparition de la cause, empêcher la défaillance ou la détecter avant qu’elle ne produise ses effets.
Il faut distinguer deux grandes familles.
| Type de maîtrise | Finalité | Exemples |
|---|---|---|
| Prévention | Réduire la possibilité d’apparition de la cause ou du mode de défaillance | Choix de conception, détrompage, redondance, maintenance préventive |
| Détection | Identifier la défaillance ou sa cause avant la conséquence finale | Capteur, alarme, contrôle automatique, inspection, essai périodique |
Cette distinction est importante pour la cotation. Un contrôle final peut améliorer la capacité de détection sans réduire la probabilité d’apparition de la défaillance. À l’inverse, une modification de conception peut empêcher la défaillance sans nécessiter de contrôle supplémentaire.
La simple présence d’un moyen de maîtrise ne suffit pas non plus à démontrer son efficacité. Une alarme peut exister tout en étant mal réglée, noyée parmi d’autres signaux ou trop tardive pour permettre une réaction.
Une même information peut changer de statut selon le niveau étudié
La chaîne AMDEC n’est pas figée. Ce qui constitue un effet à un niveau peut devenir un mode de défaillance au niveau supérieur.
Par exemple :
| Niveau étudié | Cause | Mode de défaillance | Effet |
|---|---|---|---|
| Composant | Usure du roulement | Blocage de l’arbre | Arrêt de la pompe |
| Équipement | Blocage de l’arbre | Absence de débit | Perte d’alimentation du procédé |
| Procédé | Absence de débit | Refroidissement insuffisant | Montée en température |
Cette continuité permet de comprendre la propagation d’une défaillance dans le système. Elle montre également pourquoi le périmètre, les fonctions et le niveau de détail doivent être définis avant le début de l’analyse.
Une AMDEC devient exploitable lorsque chaque ligne raconte un scénario compréhensible : une cause provoque un mode de défaillance, qui produit des effets que des moyens de maîtrise cherchent à prévenir ou à détecter.
5. Comment réaliser une AMDEC étape par étape ?
La réalisation d’une AMDEC ne commence pas par la cotation. Elle nécessite d’abord de définir précisément l’objet de l’étude, de comprendre ses fonctions et de réunir les connaissances nécessaires.
La norme IEC 60812 présente l’AMDEC comme une démarche qui doit être planifiée, réalisée, documentée et tenue à jour. Elle peut être adaptée à différents objets : matériels, logiciels, processus, actions humaines et interfaces.
Étape 1 — Définir l’objectif de l’AMDEC
La première question à poser est :
Quelle décision l’AMDEC doit-elle permettre de prendre ?
L’analyse peut avoir pour objectif de :
- fiabiliser la conception d’un nouvel équipement ;
- sécuriser une modification ;
- réduire des pannes récurrentes ;
- améliorer un processus de fabrication ;
- définir une stratégie de maintenance ;
- prévenir des défauts de qualité ;
- identifier les défaillances susceptibles d’avoir des conséquences sur la sécurité ou l’environnement.
Un objectif trop vague produit généralement une analyse volumineuse, mais difficilement exploitable.
Étape 2 — Définir le périmètre et les limites
Le groupe de travail doit préciser ce qui est inclus dans l’analyse et ce qui en est exclu.
Le périmètre peut correspondre à :
- un produit ;
- une machine ;
- une partie d’installation ;
- un système complet ;
- une opération ;
- une étape de fabrication ;
- un processus organisationnel.
Les interfaces doivent être identifiées avec attention. Une alimentation électrique, un réseau d’air comprimé, un automatisme, une intervention humaine ou une information provenant d’un autre service peuvent être indispensables au fonctionnement du système sans appartenir directement à l’équipement étudié.
Il faut également préciser les situations prises en compte :
- fonctionnement normal ;
- démarrage et arrêt ;
- changement de série ;
- nettoyage ;
- maintenance ;
- fonctionnement dégradé ;
- conditions particulières d’utilisation.
Étape 3 — Constituer un groupe de travail pluridisciplinaire
Une AMDEC ne devrait pas être réalisée par une seule personne à partir de sa connaissance théorique du système.
Selon le sujet, le groupe peut réunir :
- le responsable du processus ;
- des opérateurs ou utilisateurs ;
- la maintenance ;
- les méthodes ;
- la production ;
- la qualité ;
- l’ingénierie ;
- les automatismes ;
- le service HSE ;
- un fournisseur ou un spécialiste technique.
Chaque participant détient une partie différente de la connaissance. Les concepteurs connaissent les fonctions prévues, tandis que les utilisateurs et les mainteneurs connaissent les conditions réelles de fonctionnement, les dérives et les difficultés d’intervention.
Un animateur doit garantir la cohérence de la méthode, faciliter les échanges et préserver la traçabilité des décisions, sans se substituer aux experts du système.
Étape 4 — Rassembler les informations disponibles
L’analyse doit s’appuyer sur des données concrètes et pas uniquement sur l’imagination du groupe.
Les informations utiles peuvent comprendre :
- les plans et les schémas ;
- le cahier des charges ;
- l’analyse fonctionnelle ;
- les notices des fabricants ;
- les paramètres de fonctionnement ;
- l’historique des pannes ;
- les rapports d’incident ;
- les résultats des contrôles ;
- les données de maintenance ;
- les réclamations ou non-conformités ;
- les retours d’expérience d’installations similaires ;
- les observations du travail réel.
L’absence de données doit être signalée. Elle ne devrait pas être compensée silencieusement par une note arbitraire présentée comme certaine.
Étape 5 — Décomposer le système et définir ses fonctions
Le système ou le processus doit être découpé en éléments suffisamment précis pour être analysés, sans tomber dans un niveau de détail inutile.
Pour chaque élément, le groupe définit la fonction attendue.
Une fonction peut intégrer :
- l’action à réaliser ;
- le niveau de performance attendu ;
- les conditions de fonctionnement ;
- les interfaces nécessaires ;
- les exigences de sécurité, de qualité ou de disponibilité.
Par exemple :
Transférer le produit de la cuve A vers la cuve B avec un débit compris entre 20 et 25 m³/h.
Cette formulation est plus exploitable que la seule mention « assurer le transfert ».
Étape 6 — Identifier les modes de défaillance
Pour chaque fonction, le groupe recherche les différentes manières dont celle-ci pourrait ne pas être assurée correctement.
Les questions suivantes peuvent guider la réflexion :
- la fonction peut-elle être totalement absente ?
- peut-elle être seulement partiellement assurée ?
- peut-elle être réalisée trop tôt ou trop tard ?
- peut-elle être réalisée de manière intermittente ?
- peut-elle produire une performance insuffisante ou excessive ?
- peut-elle se déclencher de manière intempestive ?
- peut-elle être réalisée dans le mauvais sens ou vers la mauvaise destination ?
Pour la fonction de transfert, les modes de défaillance pourraient être :
- absence de débit ;
- débit insuffisant ;
- débit excessif ;
- débit instable ;
- inversion du sens de transfert ;
- fuite pendant le transfert.
Les modes doivent être formulés clairement, sans mélanger immédiatement la défaillance, sa cause et ses effets.
Étape 7 — Déterminer les effets de chaque défaillance
Le groupe analyse ensuite ce qui pourrait se produire si le mode de défaillance survenait.
Les effets peuvent être étudiés à plusieurs niveaux :
- effet local sur le composant ;
- effet sur l’équipement ;
- effet sur le procédé ;
- effet final sur l’utilisateur, la production, la qualité, la sécurité ou l’environnement.
Une absence de débit peut, par exemple, provoquer :
- l’arrêt du transfert ;
- une alimentation insuffisante d’une autre partie du procédé ;
- une perte de production ;
- une dégradation du produit ;
- une élévation anormale de température ;
- une situation dangereuse.
Il est important d’identifier l’effet final pertinent pour la cotation de la gravité. Une équipe qui cote l’effet local et une autre qui cote la conséquence finale n’obtiendront pas des résultats comparables.
Étape 8 — Rechercher les causes potentielles
Pour chaque mode de défaillance, le groupe identifie les mécanismes ou les situations susceptibles de le provoquer.
Pour une absence de débit, les causes possibles pourraient être :
- une perte d’alimentation électrique ;
- une obstruction de la tuyauterie ;
- une vanne fermée ;
- une détérioration de la pompe ;
- un défaut de commande ;
- une erreur de configuration ;
- une cavitation ;
- une maintenance incorrectement réalisée.
Les causes doivent être suffisamment précises pour permettre la définition d’une action.
La mention « erreur humaine » est rarement suffisante. Il convient de rechercher les conditions ayant favorisé cette erreur : information ambiguë, mauvaise ergonomie, accès difficile, formation insuffisante, pression temporelle ou procédure éloignée du travail réel.
Étape 9 — Identifier les moyens de maîtrise existants
L’AMDEC doit prendre en compte les dispositions réellement présentes au moment de l’analyse.
Ces moyens peuvent agir de différentes façons :
- empêcher l’apparition de la cause ;
- réduire la probabilité de la défaillance ;
- détecter une dérive ;
- alerter avant l’apparition des conséquences ;
- limiter les effets de la défaillance.
Il peut s’agir, par exemple :
- d’un choix de conception ;
- d’une redondance ;
- d’une maintenance préventive ;
- d’un capteur ;
- d’une alarme ;
- d’un contrôle automatique ;
- d’une inspection ;
- d’un essai périodique ;
- d’une consigne opératoire ;
- d’une formation.
Le groupe doit examiner leur efficacité réelle. L’existence d’un contrôle, d’une alarme ou d’une procédure ne signifie pas automatiquement que la défaillance est maîtrisée.
Étape 10 — Évaluer et hiérarchiser les défaillances
Les scénarios sont ensuite évalués à partir des critères définis par l’organisation.
La méthode classique repose généralement sur :
- la gravité des effets ;
- l’occurrence ou la probabilité d’apparition ;
- la capacité à détecter la défaillance avant qu’elle ne produise ses conséquences.
Les notes obtenues permettent de calculer un indice de criticité ou d’appliquer une autre règle de hiérarchisation.
Cette cotation doit être réalisée à partir d’échelles définies à l’avance. Elle ne doit pas reposer uniquement sur le ressenti des participants.
Nous détaillerons les méthodes de cotation dans la partie suivante.
Étape 11 — Définir les actions à mettre en œuvre
Pour les défaillances nécessitant un traitement, le groupe détermine les actions permettant de :
- supprimer la cause ;
- modifier la conception ;
- réduire la probabilité d’apparition ;
- améliorer la détection ;
- limiter les conséquences ;
- approfondir une incertitude ;
- recueillir des données complémentaires.
Chaque action doit comporter au minimum :
- un responsable ;
- une échéance ;
- un état d’avancement ;
- une preuve de réalisation ;
- une vérification de son efficacité.
L’ajout d’un contrôle ou d’une procédure ne devrait pas être systématique. Lorsque cela est possible, la priorité doit être donnée à la suppression de la défaillance par la conception ou à la réduction de sa probabilité.
Étape 12 — Réévaluer la criticité et tenir l’AMDEC à jour
Une fois les actions réalisées, la situation doit être réévaluée.
Cette seconde évaluation permet de vérifier :
- si l’action a réellement modifié le scénario ;
- quel critère a été amélioré ;
- si la criticité résiduelle est acceptable ;
- si de nouvelles défaillances ont été introduites ;
- si des actions supplémentaires restent nécessaires.
La simple diminution mathématique de l’indice ne suffit pas. L’équipe doit pouvoir expliquer concrètement pourquoi la défaillance est désormais mieux maîtrisée.
L’AMDEC doit ensuite être actualisée en cas de :
- modification de conception ;
- changement de procédé ;
- évolution des conditions d’utilisation ;
- incident ou panne significative ;
- nouveau retour d’expérience ;
- modification d’un moyen de maîtrise.
Une AMDEC n’est pas terminée lorsque toutes les lignes sont cotées. Elle devient utile lorsque les actions sont réalisées, leur efficacité vérifiée et les connaissances conservées dans la durée.
6. Comment construire les échelles de cotation d’une AMDEC ?
La cotation permet de comparer les modes de défaillance et d’aider le groupe à déterminer ses priorités. Elle repose généralement sur trois critères :
- la gravité des effets ;
- l’occurrence de la cause ou du mode de défaillance ;
- la détection, c’est-à-dire la capacité des moyens existants à identifier la défaillance avant qu’elle ne produise ses effets.
Ces trois critères sont souvent désignés par les lettres G, O et D.
Il n’existe toutefois pas de grille universelle applicable à toutes les AMDEC. Les échelles doivent être adaptées à l’objet étudié, aux données disponibles et aux conséquences que l’organisation souhaite prendre en compte.
Choisir le nombre de niveaux
Les entreprises utilisent fréquemment des échelles comportant :
- 4 niveaux ;
- 5 niveaux ;
- 10 niveaux.
Une échelle courte facilite les échanges et limite l’impression de précision. Une échelle plus détaillée permet davantage de différenciation, mais exige des critères solides pour éviter des débats artificiels entre deux notes voisines.
Une échelle de 1 à 4 ou de 1 à 5 est souvent suffisante pour une analyse interne. Une échelle de 1 à 10 peut être nécessaire lorsqu’un référentiel sectoriel l’impose ou lorsqu’une méthode déjà structurée est utilisée.
Le nombre de niveaux importe moins que la clarté de leur définition.
Construire une échelle de gravité
La gravité mesure l’importance des conséquences du mode de défaillance.
Elle peut intégrer plusieurs dimensions :
- sécurité des personnes ;
- environnement ;
- qualité du produit ;
- continuité de production ;
- coût ;
- conformité réglementaire ;
- satisfaction du client ;
- disponibilité de l’installation.
Exemple d’échelle de gravité sur cinq niveaux :
| Note | Niveau | Exemple de définition |
|---|---|---|
| 1 | Négligeable | Effet sans incidence notable sur la sécurité, la qualité ou la production |
| 2 | Mineure | Perturbation limitée, facilement récupérable, sans conséquence significative |
| 3 | Significative | Dégradation nécessitant une intervention, rebut ou arrêt de courte durée |
| 4 | Majeure | Arrêt important, dommage matériel, non-conformité grave ou atteinte réversible aux personnes |
| 5 | Critique | Décès ou atteinte irréversible, impact environnemental majeur, perte essentielle du système ou conséquence réglementaire critique |
Cette grille n’est qu’un exemple. Une entreprise doit préciser ses propres seuils : durée d’arrêt, montant des pertes, niveau de blessure, ampleur d’un rejet ou conséquence sur le client.
Lorsque plusieurs types de conséquences sont possibles, la note la plus élevée est généralement retenue. Il est également possible d’utiliser des grilles distinctes, à condition de définir clairement la règle de décision.
Construire une échelle d’occurrence
L’occurrence traduit la possibilité d’apparition de la cause ou du mode de défaillance.
Elle doit, autant que possible, s’appuyer sur :
- l’historique des pannes ;
- les données de maintenance ;
- les taux de défaillance disponibles ;
- les non-conformités ;
- les incidents ;
- les retours d’expérience ;
- les données des fabricants ;
- l’avis argumenté des experts.
Exemple d’échelle sur cinq niveaux :
| Note | Niveau | Exemple de définition |
|---|---|---|
| 1 | Très rare | Aucun cas connu ou événement exceptionnel |
| 2 | Rare | Quelques cas isolés sur une longue période |
| 3 | Occasionnelle | Défaillance déjà observée à plusieurs reprises |
| 4 | Fréquente | Défaillance régulièrement rencontrée |
| 5 | Très fréquente | Défaillance récurrente ou presque inévitable dans les conditions actuelles |
Cette rédaction qualitative doit idéalement être complétée par des valeurs adaptées à l’activité : nombre de défaillances par an, par cycle, par produit fabriqué ou par heure de fonctionnement.
Il faut éviter de confondre :
- la fréquence d’utilisation de l’équipement ;
- la fréquence d’exposition à une situation ;
- la probabilité qu’une cause apparaisse ;
- la probabilité que la défaillance produise son effet final.
L’objet exact de la cotation doit être défini avant de noter.
Construire une échelle de détection
La détection évalue la capacité des moyens existants à identifier la cause ou le mode de défaillance suffisamment tôt pour empêcher ou maîtriser ses conséquences.
Dans la plupart des grilles, une note faible correspond à une détection efficace et une note élevée à une détection difficile ou improbable.
| Note | Niveau | Exemple de définition |
|---|---|---|
| 1 | Presque certaine | Détection automatique immédiate, avec mise en sécurité ou impossibilité de poursuivre |
| 2 | Très probable | Contrôle systématique et fiable avant apparition de l’effet |
| 3 | Possible | Contrôle existant, mais dépendant des conditions ou d’une intervention humaine |
| 4 | Peu probable | Détection tardive, indirecte ou non systématique |
| 5 | Improbable | Aucun moyen de détection avant l’apparition des conséquences |
La présence d’un contrôle ne justifie pas automatiquement une bonne note de détection. Il faut notamment examiner :
- ce que le contrôle détecte réellement ;
- le moment auquel il intervient ;
- sa fréquence ;
- sa fiabilité ;
- sa couverture ;
- la possibilité de contourner le contrôle ;
- la capacité à agir avant les conséquences.
Une alarme qui se déclenche après la perte de la fonction ne prévient pas la défaillance. Elle peut néanmoins permettre d’en limiter les effets.
Décrire précisément chaque niveau
Des termes comme « faible », « moyen » ou « élevé » ne suffisent pas. Sans définition commune, chacun les interprète selon sa propre expérience.
Chaque niveau devrait donc être associé à des critères observables ou mesurables :
- fréquence constatée ;
- durée d’indisponibilité ;
- importance du dommage ;
- type de blessure ;
- volume rejeté ;
- taux de rebut ;
- efficacité du contrôle ;
- délai disponible pour réagir.
Les échelles doivent être validées avant le début de la cotation. Les modifier pendant l’analyse pour faire entrer un scénario dans une catégorie affaiblirait la cohérence de l’ensemble.
Conserver le même sens de cotation
Pour faciliter la lecture, il est préférable que l’augmentation de chaque note corresponde à une aggravation de la situation :
- gravité élevée = note élevée ;
- occurrence élevée = note élevée ;
- difficulté de détection élevée = note élevée.
La note de détection ne mesure donc pas directement la performance du contrôle, mais plutôt le risque de ne pas détecter la défaillance à temps.
Cette convention doit être explicitement inscrite dans la grille afin d’éviter les inversions de notation.
Ne pas rechercher une précision inexistante
Les notes d’une AMDEC sont généralement des catégories ordonnées, pas des mesures physiques exactes. Une gravité notée 4 n’est pas nécessairement deux fois plus importante qu’une gravité notée 2.
Les écarts entre les notes ne doivent donc pas donner une illusion de précision mathématique. La norme IEC 60812 reconnaît plusieurs méthodes de hiérarchisation, notamment les indices de priorité et les matrices de criticité.
Lorsque les données sont insuffisantes, l’incertitude doit être signalée et éventuellement conduire à une action spécifique : réaliser une mesure, rechercher un retour d’expérience ou approfondir l’analyse.
Une bonne grille de cotation ne supprime pas le jugement. Elle lui donne un cadre commun, explicite et reproductible.
7. Comment calculer et interpréter la criticité ?
Dans une AMDEC classique, la criticité est généralement calculée à partir de trois critères :
Criticité = Gravité × Occurrence × Détection
Avec une cotation sur cinq niveaux, l’indice peut varier de :
- 1, pour une défaillance peu grave, très rare et presque certainement détectée ;
- à 125, pour une défaillance critique, très fréquente et difficilement détectable.
Par exemple, pour une fuite sur la garniture d’une pompe :
| Critère | Note | Justification |
|---|---|---|
| Gravité | 4 | Fuite susceptible d’exposer un opérateur et d’entraîner un arrêt |
| Occurrence | 3 | Défaillance déjà rencontrée occasionnellement |
| Détection | 3 | Contrôle visuel existant, mais non permanent |
| Criticité | 36 | 4 × 3 × 3 |
L’indice obtenu permet de positionner ce scénario par rapport aux autres défaillances étudiées.
Définir des règles de priorité
L’organisation peut définir des plages de criticité associées à différents niveaux de traitement.
Avec une échelle de 1 à 5, un classement pourrait par exemple être construit ainsi :
| Indice | Niveau de priorité | Décision attendue |
|---|---|---|
| 1 à 15 | Faible | Situation à surveiller |
| 16 à 39 | Modérée | Amélioration à étudier |
| 40 à 74 | Élevée | Action de réduction nécessaire |
| 75 à 125 | Critique | Traitement prioritaire et validation formelle |
Ces seuils sont uniquement illustratifs. Ils doivent être définis par l’organisation en fonction de ses échelles, de ses objectifs et de son niveau d’exigence.
Il est également possible de fixer des règles complémentaires, par exemple :
- toute gravité maximale impose une action ou une justification spécifique ;
- toute conséquence réglementaire doit être examinée indépendamment du résultat ;
- toute défaillance non détectable fait l’objet d’une analyse particulière ;
- certaines combinaisons de notes nécessitent une validation par un responsable désigné.
Un même indice peut masquer des situations très différentes
La multiplication des notes crée une difficulté importante : plusieurs combinaisons peuvent produire exactement le même résultat.
| Gravité | Occurrence | Détection | Criticité |
|---|---|---|---|
| 5 | 2 | 2 | 20 |
| 2 | 5 | 2 | 20 |
| 2 | 2 | 5 | 20 |
Ces trois scénarios obtiennent une criticité de 20, mais ne présentent pas le même profil :
- le premier possède des conséquences potentiellement critiques ;
- le deuxième correspond à une défaillance fréquente mais moins grave ;
- le troisième révèle surtout une faiblesse de détection.
Ils ne nécessitent donc pas nécessairement les mêmes décisions.
L’indice global ne doit jamais être interprété sans regarder les notes qui le composent.
Une gravité élevée ne doit pas être diluée par le calcul
Une défaillance aux conséquences très graves peut obtenir un indice relativement faible si son occurrence est jugée rare et sa détection efficace.
Par exemple :
Gravité 5 × Occurrence 1 × Détection 1 = Criticité 5
Le résultat numérique paraît faible, alors que le scénario comporte une gravité maximale.
Cela ne signifie pas automatiquement que le risque est insuffisamment maîtrisé. En revanche, cette situation justifie de vérifier avec une attention particulière :
- la solidité des hypothèses d’occurrence ;
- l’indépendance et la fiabilité des moyens de maîtrise ;
- la capacité réelle de détection ;
- les conséquences d’une défaillance des contrôles ;
- la nécessité de réduire le risque dès la conception.
Une règle spécifique portant sur la gravité peut ainsi compléter utilement les seuils de criticité.
Attention à la multiplication de notes ordinales
Les niveaux de gravité, d’occurrence et de détection sont généralement des catégories ordonnées. Ils permettent de classer les situations, mais ne représentent pas nécessairement des grandeurs mathématiques proportionnelles.
Une gravité notée 4 n’est pas forcément deux fois plus importante qu’une gravité notée 2. De la même manière, le passage d’une occurrence 2 à une occurrence 4 ne signifie pas toujours que la défaillance est exactement deux fois plus fréquente.
La multiplication de ces notes produit donc un indice de classement, et non une mesure scientifique absolue du risque.
Il est préférable de parler d’indice de criticité plutôt que de probabilité réelle d’accident ou de défaillance.
D’autres méthodes de hiérarchisation sont possibles
La multiplication Gravité × Occurrence × Détection n’est pas la seule façon de hiérarchiser les résultats.
La norme IEC 60812 prévoit différentes approches, notamment :
- les indices de priorité ;
- les matrices de criticité ;
- les classements fondés sur certains critères particuliers ;
- des méthodes adaptées au contexte de l’analyse.
Dans le secteur automobile, le manuel commun AIAG-VDA utilise également une logique de priorité d’action. Celle-ci examine les combinaisons de gravité, d’occurrence et de détection au lieu de se limiter au produit arithmétique des trois notes.
Cette approche vise notamment à éviter que des combinaisons différentes soient considérées comme équivalentes au seul motif qu’elles produisent le même indice.
La criticité sert à prioriser, pas à décider seule
L’indice de criticité doit être complété par le jugement du groupe de travail.
La décision finale peut également prendre en compte :
- les obligations réglementaires ;
- les exigences des clients ;
- la possibilité technique de supprimer la défaillance ;
- les incertitudes de l’analyse ;
- le retour d’expérience ;
- l’existence de causes communes ;
- la vulnérabilité des moyens de maîtrise ;
- les conséquences potentielles les plus graves.
Le seuil ne doit pas devenir une frontière artificielle entre une situation qui nécessiterait une action et une autre qui pourrait être ignorée.
La criticité ne mesure pas exactement le risque. Elle fournit un langage commun pour comparer les défaillances et organiser la discussion sur les priorités.
8. Exemple complet d’AMDEC appliquée à une pompe industrielle
Prenons l’exemple simplifié d’une pompe centrifuge utilisée pour transférer un produit chimique liquide d’une cuve de stockage vers une unité de production.
L’objectif de cette AMDEC est d’identifier les défaillances susceptibles d’affecter :
- la continuité du transfert ;
- la qualité du procédé ;
- la sécurité des personnes ;
- l’environnement ;
- l’intégrité de l’installation.
Cet exemple est volontairement simplifié. Les notes et les actions proposées doivent être adaptées aux caractéristiques réelles du produit, de l’installation et de ses conditions d’exploitation.
Définition du système étudié
Équipement : pompe centrifuge de transfert.
Fonction principale :
Transférer le produit de la cuve A vers l’unité B avec un débit compris entre 20 et 25 m³/h, sans fuite ni exposition des opérateurs.
Périmètre retenu :
- pompe et moteur ;
- accouplement ;
- garniture mécanique ;
- tuyauteries immédiatement raccordées ;
- vannes d’isolement ;
- mesure de débit ;
- commandes et alarmes associées.
Situations étudiées :
- démarrage ;
- fonctionnement normal ;
- arrêt ;
- fonctionnement dégradé ;
- maintenance courante.
Échelles utilisées
L’exemple utilise les trois critères présentés précédemment, cotés de 1 à 5 :
- G : gravité des effets ;
- O : occurrence de la cause ou de la défaillance ;
- D : difficulté à détecter la défaillance avant ses conséquences.
La criticité est calculée ainsi :
Criticité = G × O × D
Plus la note de détection est élevée, plus la défaillance est difficile à détecter à temps.
Tableau initial de l’AMDEC
| Mode de défaillance | Effets possibles | Causes possibles | Moyens existants | G | O | D | Criticité |
|---|---|---|---|---|---|---|---|
| Absence de débit | Arrêt de l’alimentation du procédé, perte de production, fonctionnement dégradé de l’unité | Perte électrique, moteur défaillant, vanne fermée, obstruction | Contrôle opérateur, indicateur de débit, maintenance préventive | 3 | 3 | 2 | 18 |
| Débit insuffisant | Mauvaise alimentation du procédé, dérive de qualité, échauffement possible de la pompe | Filtre colmaté, usure de la roue, cavitation, prise d’air | Indicateur de débit, contrôle périodique, inspection de la pompe | 3 | 3 | 3 | 27 |
| Fuite au niveau de la garniture | Exposition d’un opérateur, déversement, pollution, arrêt de l’installation | Usure, défaut de montage, vibrations, fonctionnement à sec | Contrôle visuel, rétention, maintenance périodique | 4 | 3 | 3 | 36 |
| Débit excessif | Surremplissage, perturbation du procédé, débordement potentiel | Mauvais réglage, défaut de régulation, erreur de consigne | Affichage du débit, alarme de niveau haut sur la cuve réceptrice | 4 | 2 | 2 | 16 |
| Démarrage intempestif | Mise en mouvement pendant une intervention, exposition du personnel de maintenance | Défaut de commande, erreur opératoire, consignation insuffisante | Arrêt local, procédure de consignation, sectionneur | 5 | 1 | 3 | 15 |
Analyse détaillée d’un mode de défaillance
Prenons la fuite au niveau de la garniture mécanique.
Fonction attendue
La pompe doit transférer le produit tout en assurant son confinement.
Mode de défaillance
Perte d’étanchéité de la garniture mécanique.
Effets locaux
- écoulement de produit autour de l’arbre ;
- dégradation progressive de la garniture ;
- contamination du support et de l’environnement proche.
Effets sur l’installation
- perte de produit ;
- arrêt de la pompe ;
- indisponibilité du transfert ;
- nécessité d’une intervention de maintenance.
Effets potentiels sur la sécurité et l’environnement
Selon les propriétés du produit transféré :
- contact cutané ou projection ;
- inhalation de vapeurs ;
- formation d’une atmosphère dangereuse ;
- pollution du sol ou du réseau d’évacuation ;
- départ de feu si le produit est inflammable et rencontre une source d’inflammation.
La gravité ne doit pas être définie uniquement à partir de la fuite la plus fréquemment observée. Le groupe doit également examiner les conséquences raisonnablement envisageables dans les conditions étudiées.
Causes possibles
La perte d’étanchéité pourrait résulter de :
- l’usure normale de la garniture ;
- vibrations excessives ;
- défaut d’alignement ;
- fonctionnement à sec ;
- pression ou température inadaptée ;
- incompatibilité entre les matériaux et le produit ;
- erreur de montage après maintenance.
Moyens de maîtrise existants
L’installation dispose :
- d’une maintenance périodique ;
- d’un contrôle visuel effectué lors des rondes ;
- d’une rétention sous la pompe ;
- d’une procédure d’intervention ;
- d’équipements de protection individuelle.
Ces moyens ne jouent pas tous le même rôle. La maintenance cherche à réduire l’occurrence, tandis que le contrôle visuel cherche à détecter la fuite. La rétention et les EPI agissent principalement sur les conséquences.
Interprétation de la cotation initiale
La fuite obtient les notes suivantes :
- gravité 4, compte tenu des conséquences possibles sur les personnes et l’environnement ;
- occurrence 3, car des dégradations de garniture ont déjà été observées ;
- détection 3, puisque la détection repose principalement sur des rondes périodiques.
L’indice initial est donc :
4 × 3 × 3 = 36
Cette valeur ne signifie pas que le scénario est acceptable ou inacceptable en elle-même. Elle permet de le comparer aux autres modes étudiés et d’orienter la recherche d’améliorations.
Actions décidées
Après analyse, le groupe retient les actions suivantes :
- installer un dispositif de détection de fuite avec alarme ;
- mettre en place une surveillance des vibrations ;
- vérifier l’alignement de la pompe après chaque intervention ;
- protéger la pompe contre le fonctionnement à sec ;
- revoir la périodicité de remplacement de la garniture à partir de l’historique ;
- vérifier la compatibilité des matériaux avec le produit et les conditions de fonctionnement.
Chaque action doit ensuite être affectée à un responsable, associée à une échéance et suivie jusqu’à la vérification de son efficacité.
Réévaluation après les actions
Après installation de la protection contre le fonctionnement à sec, amélioration de la maintenance et ajout d’une détection de fuite, le groupe procède à une nouvelle cotation.
| Critère | Avant les actions | Après les actions | Justification |
|---|---|---|---|
| Gravité | 4 | 4 | Les conséquences potentielles d’une fuite restent importantes |
| Occurrence | 3 | 2 | Les causes sont mieux prévenues et surveillées |
| Détection | 3 | 1 | La fuite est détectée automatiquement avec déclenchement d’une alarme |
| Criticité | 36 | 8 | Passage de 4 × 3 × 3 à 4 × 2 × 1 |
La gravité reste inchangée, car les actions ne modifient pas la nature du produit ni les conséquences potentielles d’une fuite. Elles réduisent principalement l’occurrence et améliorent la détection.
Une réduction de l’indice ne suffit cependant pas à démontrer l’efficacité des mesures. Il faut également vérifier :
- que le détecteur couvre réellement la zone de fuite ;
- que l’alarme est transmise et traitée ;
- que la maintenance des dispositifs est organisée ;
- que les essais périodiques sont réalisés ;
- que les actions ne créent pas de nouvelles défaillances.
Ce que montre cet exemple
Cette AMDEC fait ressortir plusieurs enseignements :
- le mode de défaillance doit être rattaché à une fonction précise ;
- les effets doivent être examinés à plusieurs niveaux ;
- une cause doit être suffisamment détaillée pour permettre une action ;
- les moyens existants doivent être distingués selon leur rôle ;
- la criticité permet de hiérarchiser, mais ne remplace pas l’analyse ;
- la nouvelle cotation doit refléter une amélioration réelle et vérifiée.
Le tableau AMDEC ne constitue que la trace visible de l’analyse. Sa valeur dépend de la qualité des hypothèses, des échanges du groupe et des actions effectivement mises en œuvre.
9. Comment définir et suivre les actions d’une AMDEC ?
L’identification des modes de défaillance et leur cotation ne constituent pas une fin en soi. L’AMDEC doit conduire à des décisions concrètes permettant de supprimer les défaillances, d’en réduire la probabilité, de mieux les détecter ou d’en limiter les conséquences.
Un tableau parfaitement renseigné, mais sans action suivie jusqu’à son efficacité, reste un exercice documentaire.
Partir de la cause à maîtriser
Une action doit répondre à une cause précise ou à une faiblesse clairement identifiée.
Par exemple, face au mode de défaillance « débit insuffisant », l’action ne sera pas la même selon que la cause est :
- le colmatage d’un filtre ;
- l’usure de la pompe ;
- une mauvaise consigne ;
- une erreur de montage ;
- un défaut d’alimentation ;
- une mesure de débit incorrecte.
Une formulation vague comme « améliorer la fiabilité de la pompe » ne permet ni d’attribuer l’action ni d’en vérifier le résultat.
Il serait plus précis d’écrire :
Installer un indicateur de colmatage sur le filtre d’aspiration et intégrer son contrôle à la ronde hebdomadaire.
Respecter une hiérarchie dans le choix des actions
Toutes les actions n’offrent pas le même niveau de maîtrise. Lorsque cela est techniquement possible, il est préférable d’agir au plus près de la cause.
L’ordre de réflexion peut être le suivant :
- supprimer la cause ou le mode de défaillance ;
- modifier la conception pour réduire son occurrence ;
- rendre la défaillance impossible ou difficile ;
- améliorer la détection avant l’apparition des effets ;
- limiter les conséquences ;
- renforcer les consignes, la formation ou les contrôles humains.
Cette logique évite de répondre systématiquement à chaque défaillance par une nouvelle procédure ou un contrôle supplémentaire.
| Type d’action | Exemple | Effet recherché |
|---|---|---|
| Suppression | Supprimer une étape inutile susceptible de générer une erreur | Éliminer le mode de défaillance |
| Modification de conception | Remplacer un matériau incompatible | Réduire l’occurrence |
| Protection technique | Ajouter une sécurité contre le fonctionnement à sec | Empêcher ou interrompre la défaillance |
| Détection | Installer un capteur de fuite avec alarme | Réduire la difficulté de détection |
| Limitation des effets | Ajouter une rétention adaptée | Réduire les conséquences |
| Mesure organisationnelle | Formaliser un contrôle après maintenance | Renforcer la maîtrise opérationnelle |
Ne pas confondre prévention et détection
Une action de détection ne réduit pas nécessairement la probabilité d’apparition de la défaillance.
Par exemple :
- installer un détecteur de fuite améliore la détection ;
- remplacer une garniture inadaptée peut réduire l’occurrence ;
- modifier le produit ou réduire les quantités transférées peut agir sur la gravité des conséquences.
Cette distinction est importante au moment de réviser les notes.
| Action mise en œuvre | Critère principalement influencé |
|---|---|
| Suppression d’une cause | Occurrence |
| Amélioration de la conception | Occurrence, parfois gravité |
| Ajout d’un contrôle ou d’une alarme | Détection |
| Réduction des quantités ou de l’énergie | Gravité |
| Protection limitant les effets | Gravité ou conséquence réelle, selon la grille |
| Formation ou procédure | Occurrence ou détection, si son efficacité est démontrée |
La note ne doit être modifiée que si l’action influence réellement le critère concerné.
Donner la priorité aux actions proportionnées à l’enjeu
La criticité contribue à hiérarchiser les actions, mais elle ne doit pas être le seul critère de décision.
Le groupe doit également tenir compte :
- de la gravité maximale ;
- des exigences réglementaires ;
- des exigences du client ;
- des situations déjà rencontrées ;
- des incertitudes ;
- de l’efficacité réelle des moyens existants ;
- de la possibilité d’une cause commune ;
- des effets sur plusieurs fonctions ;
- de la facilité avec laquelle une défaillance peut être supprimée.
Une action simple permettant d’éliminer définitivement une défaillance peut être pertinente même si son indice de criticité n’est pas parmi les plus élevés.
Inversement, le coût ou la difficulté d’une action ne suffit pas à justifier l’acceptation d’un scénario aux conséquences critiques.
Formaliser clairement chaque action
Pour être pilotable, une action devrait comporter au minimum :
- la défaillance ou la cause concernée ;
- la mesure à réaliser ;
- le résultat attendu ;
- le responsable désigné ;
- l’échéance ;
- les ressources nécessaires ;
- l’état d’avancement ;
- la preuve de réalisation ;
- la méthode de vérification de l’efficacité.
Exemple :
| Élément | Contenu |
|---|---|
| Défaillance concernée | Fuite de la garniture mécanique |
| Cause ciblée | Fonctionnement à sec de la pompe |
| Action | Installer une protection arrêtant automatiquement la pompe en cas de niveau insuffisant |
| Responsable | Responsable maintenance |
| Échéance | 30 novembre |
| Preuve attendue | Installation, schéma actualisé et rapport d’essai |
| Vérification de l’efficacité | Test fonctionnel et suivi des déclenchements pendant trois mois |
La mention « action réalisée » ne suffit pas. Il faut pouvoir démontrer que la mesure prévue a été installée ou appliquée conformément à la décision.
Vérifier l’efficacité avant de clôturer
Une action peut être réalisée sans produire l’amélioration attendue.
Par exemple :
- un détecteur peut être mal positionné ;
- une alarme peut ne pas être entendue ;
- une modification peut créer une nouvelle contrainte ;
- une consigne peut être incompatible avec le travail réel ;
- un contrôle peut être abandonné avec le temps ;
- une protection peut être neutralisée pour maintenir la production.
La vérification de l’efficacité peut reposer sur :
- un essai fonctionnel ;
- une inspection ;
- une mesure ;
- une observation en situation réelle ;
- une analyse des données de fonctionnement ;
- un retour d’expérience ;
- un audit ciblé ;
- le suivi des pannes ou des incidents.
L’action ne devrait être clôturée qu’après cette vérification.
Réévaluer la cotation après traitement
Une nouvelle cotation peut être réalisée lorsque l’action est effectivement mise en œuvre et jugée opérationnelle.
Le groupe doit alors expliquer :
- quelle note a été modifiée ;
- pourquoi elle a été modifiée ;
- quelles preuves justifient cette évolution ;
- quelle criticité subsiste ;
- si des actions complémentaires restent nécessaires.
Il faut éviter de diminuer automatiquement toutes les notes.
La gravité reste généralement inchangée si les conséquences potentielles de la défaillance demeurent identiques. Une amélioration de la détection ne justifie pas non plus une diminution de l’occurrence.
Tenir compte des nouvelles défaillances créées
Une modification destinée à traiter une défaillance peut introduire de nouveaux risques.
L’ajout d’un capteur peut, par exemple, générer :
- une fausse alarme ;
- une absence de détection ;
- une perte d’alimentation ;
- une erreur de paramétrage ;
- une dépendance supplémentaire à l’automatisme ;
- une intervention de maintenance nouvelle.
Les actions importantes doivent donc être examinées pour vérifier qu’elles ne déplacent pas simplement le problème.
Une action AMDEC n’est pas efficace parce qu’elle est inscrite comme réalisée. Elle l’est lorsque son effet sur la défaillance a été démontré et que les éventuels risques nouveaux ont été examinés.
10. Quelles sont les limites de l’AMDEC ?
L’AMDEC est une méthode puissante pour structurer l’analyse des défaillances, mais elle ne garantit ni l’exhaustivité des scénarios ni la maîtrise effective des risques.
Ses résultats dépendent du périmètre retenu, des connaissances disponibles, de la composition du groupe et de la manière dont les cotations sont interprétées.
Une analyse dépendante des connaissances du groupe
L’AMDEC ne peut identifier que les défaillances que le groupe est capable d’imaginer ou de déduire à partir des informations disponibles.
Des scénarios peuvent être oubliés lorsque :
- certains métiers ne sont pas représentés ;
- le retour d’expérience est incomplet ;
- le fonctionnement réel est mal connu ;
- les interfaces sont exclues du périmètre ;
- les situations transitoires sont négligées ;
- l’analyse reprend une ancienne AMDEC sans la remettre en question ;
- le groupe considère le système comme plus stable qu’il ne l’est réellement.
Un tableau comportant de nombreuses lignes ne constitue donc pas une preuve d’exhaustivité.
Une méthode souvent centrée sur les défaillances individuelles
L’AMDEC suit généralement une logique ascendante : elle part d’un composant, d’une fonction ou d’une étape et analyse les conséquences de sa défaillance.
Cette approche est efficace pour examiner des défaillances individuelles, mais peut rencontrer des difficultés pour représenter :
- plusieurs défaillances simultanées ;
- des combinaisons d’événements ;
- des causes communes ;
- des interactions complexes ;
- la propagation d’une défaillance entre plusieurs systèmes ;
- des scénarios dépendant d’un enchaînement particulier.
La défaillance d’une alimentation électrique commune peut, par exemple, rendre indisponibles plusieurs équipements supposés indépendants. Une analyse réalisée ligne par ligne pourrait ne pas faire apparaître correctement cette dépendance.
L’AMDEC peut alors être complétée par d’autres méthodes, comme l’arbre de défaillances, l’HAZOP, le Bow-Tie ou la LOPA, selon la nature du système et l’objectif recherché.
Une cotation inévitablement subjective
Même avec des grilles précises, la gravité, l’occurrence et la détection comportent une part de jugement.
Deux groupes peuvent attribuer des notes différentes au même scénario en raison :
- de leur expérience ;
- des données auxquelles ils ont accès ;
- de leur perception du risque ;
- de leur connaissance du système ;
- de leur interprétation des critères ;
- des intérêts ou contraintes de leur métier.
La présence d’une note chiffrée peut donner une impression de précision supérieure à la réalité.
Cette subjectivité ne rend pas l’AMDEC inutile. Elle impose toutefois de documenter les hypothèses et de rechercher un accord argumenté plutôt qu’une note artificiellement exacte.
Les limites de l’indice de criticité
Le produit Gravité × Occurrence × Détection présente plusieurs difficultés.
Des combinaisons différentes peuvent produire le même résultat :
- un événement rare mais très grave ;
- une défaillance fréquente aux conséquences modérées ;
- une défaillance difficilement détectable.
Ces scénarios n’appellent pourtant pas les mêmes décisions.
L’indice peut également masquer une gravité extrême lorsqu’elle est multipliée par de faibles notes d’occurrence et de détection. À l’inverse, une accumulation de notes moyennes peut produire une criticité élevée sans que le scénario soit nécessairement prioritaire au regard des enjeux réels.
Enfin, les notes utilisées sont généralement ordinales. Leur multiplication ne transforme pas l’indice obtenu en mesure scientifique du risque.
La norme IEC 60812 reconnaît d’ailleurs plusieurs formes de hiérarchisation, dont les indices de priorité et les matrices de criticité. Elle ne réduit pas l’analyse à une formule unique.
Une détectabilité parfois mal interprétée
La note de détection est l’un des critères les plus difficiles à utiliser.
Elle peut être comprise comme :
- la capacité à détecter la cause ;
- la capacité à détecter le mode de défaillance ;
- la probabilité de détecter une dérive ;
- la possibilité d’agir avant l’apparition de l’effet ;
- l’existence d’un simple contrôle.
Ces interprétations ne sont pas équivalentes.
Un défaut peut être facilement détecté après avoir produit ses conséquences, sans pour autant être maîtrisé. La cotation doit donc préciser ce qui est détecté, par quel moyen et à quel moment.
Le risque de surestimer les contrôles existants
Une alarme, une inspection ou une procédure peut être inscrite dans la colonne « moyens de maîtrise » sans que son efficacité soit réellement démontrée.
Il faudrait pourtant vérifier :
- sa disponibilité ;
- sa fiabilité ;
- sa fréquence ;
- son indépendance ;
- sa couverture ;
- son maintien dans le temps ;
- la capacité des personnes à réagir ;
- les conséquences de sa propre défaillance.
L’existence documentaire d’une mesure ne constitue pas une barrière efficace.
Une représentation parfois trop simplifiée du facteur humain
Dans certaines AMDEC, les causes humaines sont réduites à des expressions comme :
- erreur opérateur ;
- oubli ;
- non-respect de la procédure ;
- mauvaise manipulation ;
- manque d’attention.
Ces formulations décrivent souvent le dernier geste visible sans expliquer les conditions qui l’ont rendu possible.
Une analyse plus approfondie devrait examiner :
- la conception de l’interface ;
- l’accessibilité ;
- les informations disponibles ;
- la charge de travail ;
- les interruptions ;
- les objectifs contradictoires ;
- la formation ;
- l’organisation ;
- les conditions réelles d’exécution.
Une action limitée au rappel de la consigne ou à la sensibilisation risque de laisser intactes les causes profondes de la défaillance.
Une méthode qui peut devenir lourde
Une AMDEC trop détaillée peut produire des centaines de lignes, mobiliser de nombreuses réunions et perdre progressivement son utilité opérationnelle.
Plusieurs dérives peuvent apparaître :
- analyse exhaustive de composants sans enjeu réel ;
- débats prolongés sur une différence d’un point ;
- multiplication d’actions secondaires ;
- difficulté à identifier les scénarios importants ;
- document impossible à maintenir ;
- cotation réalisée pour terminer le tableau plutôt que pour comprendre le système.
Le niveau de détail doit rester proportionné aux objectifs et aux décisions attendues.
Une photographie qui peut rapidement devenir obsolète
Une AMDEC représente le système et les connaissances disponibles à un moment donné.
Elle peut devenir inadaptée après :
- une modification technique ;
- un changement de produit ;
- une évolution des paramètres ;
- une nouvelle organisation ;
- une modification des procédures ;
- un incident ;
- une évolution du retour d’expérience ;
- la suppression ou la dégradation d’un moyen de maîtrise.
Une AMDEC non actualisée peut être plus trompeuse qu’une absence d’analyse, car elle donne l’impression que les défaillances sont toujours maîtrisées.
L’AMDEC ne suffit pas toujours pour démontrer la sécurité
La norme IEC 60812 précise que l’AMDEC peut être utilisée dans une analyse de sécurité, mais que cette norme générique ne fournit pas, à elle seule, les exigences spécifiques nécessaires à toutes les applications de sécurité.
L’AMDEC ne permet donc pas automatiquement de démontrer :
- qu’un risque est acceptable ;
- qu’une barrière est suffisamment fiable ;
- que toutes les séquences accidentelles ont été identifiées ;
- que les dépendances entre barrières sont maîtrisées ;
- que les exigences réglementaires sont satisfaites.
Elle doit être replacée dans une démarche globale d’analyse et de maîtrise des risques.
La principale faiblesse de l’AMDEC apparaît lorsque son tableau est considéré comme une preuve. La méthode éclaire les défaillances envisagées ; elle ne garantit ni que toutes ont été identifiées ni qu’elles sont effectivement maîtrisées.
11. AMDEC, APR, HAZOP et DUERP : quelles différences ?
L’AMDEC, l’APR, l’HAZOP et le DUERP sont parfois regroupés sous l’expression générale d’« analyse des risques ». Ils ne répondent pourtant ni aux mêmes objectifs ni à la même logique.
Une première distinction est essentielle :
L’AMDEC, l’APR et l’HAZOP sont des méthodes d’analyse. Le DUERP est le document réglementaire dans lequel sont transcrits les résultats de l’évaluation des risques professionnels.
Tableau comparatif
| Élément | AMDEC | APR | HAZOP | DUERP |
|---|---|---|---|---|
| Signification | Analyse des modes de défaillance, de leurs effets et de leur criticité | Analyse préliminaire des risques | Hazard and Operability Study | Document unique d’évaluation des risques professionnels |
| Objectif principal | Identifier les façons dont une fonction, un équipement ou un processus peut défaillir | Identifier rapidement les dangers et les principaux scénarios de risque | Rechercher méthodiquement les dérives d’un procédé | Formaliser l’évaluation des risques auxquels les travailleurs sont exposés |
| Point de départ | Fonctions et éléments du système | Dangers, activités, événements redoutés ou situations dangereuses | Paramètres du procédé et intentions de fonctionnement | Situations de travail et exposition des travailleurs |
| Logique principale | Mode de défaillance → effets → causes | Danger → situation ou scénario → conséquences | Mot-guide + paramètre → déviation → causes et conséquences | Danger → exposition → risque → mesures de prévention |
| Niveau de détail | Détaillé, souvent par fonction ou composant | Global ou préliminaire | Détaillé, généralement par nœud de procédé | Adapté aux unités de travail |
| Moment privilégié | Conception, modification, exploitation ou retour d’expérience | Début d’un projet ou première analyse | Conception détaillée, modification ou revue d’un procédé | Tout au long de la vie de l’entreprise |
| Résultat principal | Tableau des défaillances, criticités et actions | Cartographie initiale des risques et priorités d’étude | Liste de déviations, causes, conséquences, protections et recommandations | Inventaire des risques professionnels et base du programme de prévention |
| Statut général | Méthode volontaire, parfois imposée par un référentiel sectoriel ou contractuel | Méthode volontaire | Méthode volontaire, parfois exigée dans certains projets | Obligation réglementaire pour l’employeur |
AMDEC et APR : analyse détaillée ou première vision des risques ?
L’APR, ou analyse préliminaire des risques, est généralement utilisée pour obtenir une première vision structurée des dangers associés à un projet, un équipement ou une activité.
Elle permet notamment :
- d’identifier les principaux dangers ;
- d’imaginer les événements redoutés ;
- d’évaluer leurs conséquences ;
- de repérer les moyens de maîtrise existants ;
- de déterminer les scénarios nécessitant une analyse plus approfondie.
Elle est particulièrement utile lorsque le projet n’est pas encore suffisamment détaillé pour réaliser une analyse composant par composant.
L’AMDEC intervient souvent à un niveau plus précis. Elle part des fonctions ou des éléments du système et examine leurs différents modes de défaillance.
Pour une installation de transfert de produit :
- l’APR pourrait identifier globalement les risques de fuite, d’incendie, de surpression ou d’exposition ;
- l’AMDEC pourrait ensuite analyser la perte d’étanchéité de la garniture, l’absence de débit, la fermeture intempestive d’une vanne ou la défaillance d’un capteur.
Les deux méthodes peuvent donc se succéder : l’APR donne une vision d’ensemble, tandis que l’AMDEC approfondit les défaillances de certaines fonctions.
AMDEC et HAZOP : défaillances des fonctions ou dérives du procédé ?
L’HAZOP recherche les écarts entre le fonctionnement prévu d’un procédé et les situations qui pourraient réellement se produire.
Pour cela, le groupe associe des mots-guides à différents paramètres :
- pas de débit ;
- plus de pression ;
- moins de température ;
- niveau trop haut ;
- composition différente ;
- écoulement inverse.
La norme IEC 61882 fournit un guide pour la préparation, la conduite, la documentation et le suivi des études HAZOP fondées sur l’utilisation de mots-guides.
Les deux méthodes peuvent parfois identifier des scénarios proches, mais leur point de départ diffère.
L’AMDEC pose principalement la question :
De quelle manière cet élément ou cette fonction peut-il défaillir ?
L’HAZOP demande plutôt :
Comment un paramètre du procédé peut-il s’écarter de l’intention de fonctionnement ?
Pour une pompe de transfert :
- l’AMDEC étudierait la défaillance du moteur, la fuite de la garniture ou l’usure de la roue ;
- l’HAZOP examinerait les situations « pas de débit », « débit excessif », « pression élevée » ou « écoulement inverse ».
L’AMDEC est particulièrement adaptée à l’analyse de la fiabilité des fonctions et des équipements. L’HAZOP est généralement plus efficace pour étudier les dérives d’un procédé continu ou semi-continu et leurs interactions.
AMDEC et DUERP : méthode technique ou obligation réglementaire ?
Le DUERP ne constitue pas une méthode d’analyse comparable à l’AMDEC.
L’article R.4121-1 du Code du travail impose à l’employeur de transcrire et de mettre à jour dans un document unique les résultats de l’évaluation des risques pour la santé et la sécurité des travailleurs.
Le DUERP doit notamment tenir compte des situations de travail et de l’exposition des travailleurs aux dangers. L’INRS rappelle que le document permet de formaliser et d’enregistrer les résultats de cette évaluation.
L’entreprise reste libre de choisir les méthodes adaptées à ses activités, sous réserve que l’évaluation soit pertinente et conforme aux exigences applicables.
Une AMDEC peut contribuer à alimenter le DUERP lorsqu’elle fait apparaître des défaillances susceptibles d’exposer les travailleurs. Elle ne remplace toutefois pas l’évaluation des risques professionnels.
Par exemple, l’AMDEC d’une pompe peut identifier :
- une fuite de produit ;
- un démarrage intempestif ;
- une rupture mécanique ;
- une projection pendant une intervention.
Le DUERP devra replacer ces scénarios dans les situations de travail réelles :
- qui peut être exposé ?
- pendant quelle opération ?
- dans quelles conditions ?
- avec quelle fréquence ?
- quelles mesures de prévention sont appliquées ?
- quelles actions doivent être intégrées au programme de prévention ?
L’AMDEC analyse d’abord les défaillances du système. Le DUERP porte sur les risques auxquels les travailleurs sont exposés du fait de leur activité.
Les méthodes peuvent être complémentaires
Il n’est pas toujours pertinent de chercher à choisir une seule méthode pour l’ensemble d’un projet.
Une démarche d’analyse peut, par exemple, s’organiser ainsi :
- une APR pour identifier les principaux dangers dès le début du projet ;
- une HAZOP pour étudier les dérives du procédé ;
- une AMDEC pour approfondir la défaillance de certains équipements ou fonctions ;
- un Bow-Tie pour représenter les causes, les conséquences et les barrières d’un scénario majeur ;
- une LOPA pour évaluer certaines couches de protection ;
- le DUERP pour intégrer les risques concernant les travailleurs et définir les actions de prévention correspondantes.
La norme IEC 31010 souligne d’ailleurs que les techniques d’appréciation des risques doivent être sélectionnées et adaptées à la situation étudiée.
Quelle méthode choisir ?
| Besoin principal | Approche généralement adaptée |
|---|---|
| Obtenir une première vision des dangers d’un projet | APR |
| Examiner les défaillances d’un produit ou d’un équipement | AMDEC |
| Étudier les erreurs ou défaillances d’un processus | AMDEC processus |
| Rechercher les dérives d’un procédé industriel | HAZOP |
| Analyser l’exposition des salariés dans leur travail | Évaluation des risques professionnels et DUERP |
| Représenter les causes, conséquences et barrières | Bow-Tie |
| Évaluer les couches de protection d’un scénario | LOPA |
Ces correspondances ne sont pas absolues. Le choix dépend du niveau de maturité du projet, de la complexité du système, de la nature des risques et des décisions attendues.
La meilleure méthode n’est pas la plus sophistiquée. C’est celle qui permet d’identifier les scénarios pertinents avec un niveau de détail adapté à la décision à prendre.
12. FAQ sur la méthode AMDEC
Que signifie AMDEC ?
AMDEC signifie Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité.
La méthode consiste à identifier les différentes manières dont un produit, un équipement, un système ou un processus pourrait ne plus remplir correctement ses fonctions, puis à analyser les causes, les effets et les moyens de maîtrise associés.
Quelle différence entre AMDE, AMDEC, FMEA et FMECA ?
L’AMDE analyse les modes de défaillance et leurs effets. L’AMDEC ajoute une évaluation de leur criticité afin de faciliter leur hiérarchisation.
Les sigles anglais correspondants sont :
- FMEA : Failure Modes and Effects Analysis ;
- FMECA : Failure Modes, Effects and Criticality Analysis.
Dans la pratique française, le terme AMDEC est fréquemment utilisé pour désigner l’ensemble de la démarche, même lorsque les modalités de hiérarchisation diffèrent.
L’AMDEC est-elle obligatoire ?
Il n’existe pas d’obligation générale imposant à toutes les entreprises de réaliser une AMDEC.
Son utilisation peut toutefois résulter :
- d’un référentiel sectoriel ;
- d’une exigence contractuelle ;
- d’une demande d’un client ;
- d’une procédure interne ;
- d’un processus de conception ou de validation ;
- des exigences applicables à certains équipements ou systèmes particuliers.
L’AMDEC peut aussi être volontairement utilisée pour contribuer à une démarche de fiabilité, de qualité, de maintenance ou de maîtrise des risques.
Sa réalisation ne dispense pas l’entreprise de respecter les obligations réglementaires qui lui sont applicables.
Qui doit participer à une AMDEC ?
La composition du groupe dépend de l’objet étudié. Il peut notamment réunir :
- le responsable du processus ;
- les concepteurs ;
- la production ;
- les opérateurs ;
- la maintenance ;
- les méthodes ;
- la qualité ;
- les automatismes ;
- le service HSE ;
- des fournisseurs ou experts spécialisés.
L’implication des personnes qui utilisent, conduisent ou entretiennent réellement l’équipement est essentielle. Elles connaissent souvent des modes de fonctionnement dégradés, des difficultés d’intervention ou des écarts entre la conception et l’usage réel.
Comment calculer la criticité d’une AMDEC ?
La formule la plus courante est :
Criticité = Gravité × Occurrence × Détection
Par exemple :
4 × 3 × 2 = 24
L’indice obtenu sert à comparer les modes de défaillance et à organiser les priorités. Il ne constitue toutefois pas une mesure absolue du risque.
Plusieurs combinaisons peuvent produire le même résultat tout en correspondant à des situations très différentes. La gravité, l’occurrence et la détection doivent donc toujours être examinées séparément.
Quelle grille de cotation faut-il utiliser ?
Il n’existe pas de grille unique adaptée à toutes les AMDEC.
L’entreprise peut utiliser une échelle de 1 à 4, de 1 à 5 ou de 1 à 10, selon :
- la nature de l’analyse ;
- le niveau de précision recherché ;
- les données disponibles ;
- les pratiques du secteur ;
- les exigences d’un client ou d’un référentiel.
Chaque niveau doit être associé à des critères clairs, observables et, lorsque cela est possible, mesurables. Une grille simple et comprise par tous est préférable à une échelle détaillée dont les niveaux sont difficiles à distinguer.
Quelle différence entre une AMDEC produit et une AMDEC processus ?
L’AMDEC produit ou conception analyse les défaillances liées aux choix techniques d’un produit ou d’un équipement : matériaux, composants, dimensionnement, assemblages et interfaces.
L’AMDEC processus analyse les défaillances susceptibles de survenir pendant la réalisation d’une activité : étape oubliée, mauvais réglage, erreur de composant, défaut de contrôle ou information incorrectement transmise.
Une défaillance de conception peut avoir des conséquences sur le processus, et inversement. Les deux analyses peuvent donc être complémentaires.
Quand faut-il mettre à jour une AMDEC ?
Une AMDEC devrait être revue lorsqu’une évolution remet en question ses hypothèses ou ses moyens de maîtrise.
Une actualisation peut notamment être nécessaire après :
- une modification de conception ;
- un changement de produit ou de matière ;
- une évolution du procédé ;
- une modification des paramètres de fonctionnement ;
- un incident ou une panne significative ;
- un nouveau retour d’expérience ;
- la modification d’une procédure ;
- le remplacement d’un équipement ;
- la réalisation d’une action importante.
La norme IEC 60812 intègre la tenue à jour de l’analyse dans la démarche générale de réalisation d’une FMEA ou d’une FMECA.
Quel logiciel utiliser pour réaliser une AMDEC ?
Une AMDEC simple peut être réalisée dans un tableur. Celui-ci permet de structurer les fonctions, les modes de défaillance, les causes, les effets, les cotations et les actions.
Un logiciel spécialisé peut devenir utile lorsque l’analyse comporte :
- un grand nombre de composants ;
- plusieurs niveaux de système ;
- de nombreuses interfaces ;
- une gestion complexe des versions ;
- des bibliothèques de défaillances ;
- des liens avec la conception ou la maintenance ;
- plusieurs équipes ou plusieurs sites.
Le choix de l’outil ne garantit cependant pas la qualité de l’analyse. Un logiciel performant ne compense ni un périmètre mal défini ni l’absence des personnes connaissant le travail réel.
L’AMDEC peut-elle être utilisée pour évaluer les risques professionnels ?
L’AMDEC peut contribuer à identifier des défaillances susceptibles d’exposer les travailleurs : fuite, démarrage intempestif, perte d’une protection, rupture mécanique ou défaut d’une alarme.
Elle ne remplace toutefois pas l’évaluation des risques professionnels, qui doit prendre en compte les situations de travail, les personnes exposées et les conditions réelles d’activité.
Le Code du travail impose à l’employeur de transcrire et de mettre à jour dans le DUERP les résultats de l’évaluation des risques pour la santé et la sécurité des travailleurs.
Les résultats d’une AMDEC peuvent donc alimenter le DUERP, mais ils doivent être replacés dans l’analyse de l’exposition des travailleurs.
L’indice de criticité suffit-il pour décider des actions ?
Non. L’indice facilite la hiérarchisation, mais la décision doit également tenir compte :
- de la gravité des conséquences ;
- des obligations réglementaires ;
- des incertitudes ;
- du retour d’expérience ;
- de l’efficacité des moyens de maîtrise ;
- des dépendances entre équipements ;
- de la possibilité de supprimer la défaillance ;
- des conséquences d’une erreur de cotation.
Une défaillance de gravité maximale ne devrait pas être écartée automatiquement parce que son indice global reste inférieur à un seuil.
Une AMDEC peut-elle être réalisée par une seule personne ?
Une personne peut préparer le périmètre, rassembler les documents et construire une première version du tableau. En revanche, la validation de l’analyse devrait associer plusieurs métiers.
Une AMDEC réalisée seule risque de refléter un point de vue unique et de négliger les conditions réelles d’utilisation, de maintenance ou d’intervention.
La qualité d’une AMDEC dépend moins du nombre de lignes renseignées que de la diversité des connaissances mobilisées et de la capacité du groupe à transformer l’analyse en actions vérifiables.
Conclusion
L’AMDEC permet d’anticiper les différentes manières dont un produit, un équipement ou un processus peut ne plus remplir correctement ses fonctions. Elle aide à en rechercher les causes, à comprendre les effets possibles et à définir les actions nécessaires pour mieux maîtriser les défaillances.
Sa valeur ne réside toutefois pas uniquement dans le calcul d’un indice de criticité. Celui-ci facilite la hiérarchisation, mais ne remplace ni le jugement du groupe ni l’examen séparé de la gravité, de l’occurrence et de la capacité de détection.
Une AMDEC pertinente repose avant tout sur :
- un objectif et un périmètre clairement définis ;
- une analyse fonctionnelle suffisamment précise ;
- la participation des personnes connaissant la conception et le travail réel ;
- des cotations argumentées ;
- des actions agissant réellement sur les causes ou les conséquences ;
- une vérification de leur efficacité ;
- une mise à jour après toute évolution significative.
Elle peut être complétée par l’APR, l’HAZOP, le Bow-Tie ou la LOPA lorsque la complexité des scénarios, les interactions ou les enjeux de sécurité nécessitent d’autres angles d’analyse.
Une AMDEC réussie ne se reconnaît pas au nombre de lignes de son tableau, mais à sa capacité à révéler les défaillances importantes et à les transformer en décisions concrètes.
Sources et références
- INERIS — Oméga 7, Méthodes d’analyse des risques générés par une installation industrielle, 2006. Ce rapport présente les principales méthodes utilisées pour identifier les causes et les conséquences des événements associés aux installations industrielles, notamment l’AMDEC, l’APR, l’HAZOP et les arbres de défaillances.
Consulter le rapport INERIS Oméga 7 - NASA Goddard Space Flight Center — GSFC-HDBK-8004, Guideline for Failure Modes and Effects Analysis and Risk Assessment, 2024. Ce guide propose une démarche détaillée pour réaliser, documenter et actualiser une analyse des modes de défaillance, de leurs effets et de leur criticité.
Consulter le guide NASA GSFC-HDBK-8004
