AMDEC : méthode, calcul de criticité et mise en pratique

Ce que l'AMDEC analyse exactement

L'AMDEC est une analyse préventive et systématique : on passe en revue un équipement composant par composant, en cherchant de quelle façon chacun peut cesser de remplir sa fonction. Formalisée par la norme MIL-STD-1629A en 1980, elle est aujourd'hui normalisée par la CEI 60812 (édition 2018).

L'unité de travail n'est pas la panne mais le mode de défaillance. La cause produit le défaut, le mode est la façon dont le composant sort de sa fonction, l'effet est ce que subissent la machine et l'opérateur. Sur une centrale hydraulique : filtre colmaté (cause), débit insuffisant (mode), la presse ne monte plus en pression (effet).

La distinction commande tout : on agit sur les causes, on cote la gravité sur les effets, on liste les modes. Selon l'objet analysé, on distingue trois familles.

• AMDEC produit — la conception d'un objet fabriqué, vue du client final.
• AMDEC processus — le procédé de fabrication : réglages, gammes, postes.
• AMDEC moyen (ou machine) — l'outil de production lui-même. C'est celle qui concerne la maintenance, et la seule dont il est question ici.

Les trois notes : gravité, occurrence, détection

La gravité (G) cote l'effet, jamais la cause : durée d'immobilisation, rebut, atteinte à la sécurité. En maintenance, la durée d'arrêt est l'ancrage le plus honnête : elle est vérifiable dans l'historique.

L'occurrence (O) cote la fréquence d'apparition de la cause. C'est la note qui départage une AMDEC solide d'une AMDEC d'opinion : si un historique de pannes existe, on lit les fréquences réelles au lieu de les estimer.

La détection (D) est la plus mal notée, car elle est inversée par rapport à l'intuition. Elle cote la probabilité de ne PAS détecter la cause avant que l'effet ne se produise : une note élevée signifie une mauvaise détection. Elle porte sur les moyens en place aujourd'hui, pas sur ceux qu'on envisage.

Le référentiel automobile AIAG & VDA FMEA Handbook (2019) cote de 1 à 10. Dans une PME sans bureau des méthodes, une échelle de 1 à 4 est plus robuste : elle évite les débats stériles sur l'écart entre 6 et 7. Ce qui compte n'est pas l'amplitude, c'est que chaque niveau ait une définition écrite et chiffrée — sans quoi deux séances ne sont plus comparables.

• Gravité — 1 : gêne sans arrêt. 2 : arrêt de moins de 30 minutes. 3 : arrêt de 30 minutes à un poste, ou production non conforme. 4 : arrêt de plus d'un poste, ou atteinte à la sécurité.
• Occurrence — 1 : jamais constatée. 2 : moins d'une fois par an. 3 : plusieurs fois par an. 4 : au moins une fois par mois.
• Détection — 1 : signe annonciateur systématique et relevé (alarme, seuil, mesure). 2 : détectable à la ronde ou au contrôle périodique. 3 : détectable seulement si quelqu'un est présent au bon moment. 4 : aucune détection, la panne se révèle par l'arrêt.

Calculer la criticité et fixer un seuil d'action

La criticité est le produit des trois notes : C = G × O × D. Sur une échelle de 1 à 4, elle varie de 1 à 64 ; sur l'échelle automobile de 1 à 10, de 1 à 1000, et porte alors le nom d'IPR en français ou de RPN en anglais.

Il n'existe aucun seuil normatif. Le seuil de déclenchement est une décision interne. La convention la plus répandue dans l'automobile place l'attention au-dessus de 100 sur une échelle 1-10, mais elle n'a aucune valeur réglementaire : l'édition 2018 de la CEI 60812 comme le manuel AIAG & VDA de 2019 mettent en garde contre l'usage mécanique du produit des trois notes.

La raison est arithmétique. Un mode coté 10-1-1 et un mode coté 2-5-1 donnent tous deux 10, alors que le premier peut blesser un opérateur : un mode grave et rare passe sous le seuil d'un mode bénin et fréquent. C'est pourquoi le référentiel AIAG & VDA a remplacé l'IPR par une matrice de priorité d'action fondée sur le triplet de notes. Sans ce formalisme, quatre règles suffisent.

• Gravité — toute ligne cotée à la gravité maximale part en action, quelle que soit sa criticité. La sécurité ne se pondère pas par une fréquence.
• Classement — trier par criticité décroissante et traiter le haut de la liste. Le classement relatif est fiable, la valeur absolue ne l'est pas.
• Détection — une détection au maximum sur un mode grave est une action à part entière : on ne sait pas voir venir une panne coûteuse.
• Stabilité — le seuil ne se déplace pas en cours de campagne, sinon les analyses précédentes deviennent incomparables.

Le tableau AMDEC, colonne par colonne

Une AMDEC tient dans un tableau, et un tableur suffit. Les colonnes suivent le raisonnement de la séance : on décrit, on cote, on décide, on recote.

La dernière colonne est celle que tout le monde oublie. Sans recotation après action, on ne sait pas si l'action a servi. Une AMDEC dont les criticités n'ont jamais bougé n'est pas une AMDEC, c'est un compte rendu de réunion.

• Repère et fonction — l'identifiant du composant, la fonction qu'il assure.
• Mode de défaillance — comment la fonction cesse d'être assurée.
• Cause — ce qui produit le mode. Plusieurs causes = plusieurs lignes.
• Effet — la conséquence sur la machine, le produit, l'opérateur.
• Détection actuelle — le moyen en place, nommé explicitement.
• G, O, D et C — les trois notes et leur produit.
• Action, pilote, échéance — sans pilote ni date, ce n'est pas une action.
• G, O, D et C recotés — la même cotation après mise en œuvre.

Démarrer sur un premier équipement

L'erreur de départ est de vouloir couvrir le parc. Une AMDEC se lance sur une machine, choisie sur des données : celle qui a cumulé le plus d'heures d'arrêt sur les douze derniers mois. On construit ensuite une arborescence fonctionnelle et on s'arrête au niveau de la pièce remplaçable : descendre plus bas allonge la séance sans rien ajouter au plan d'action.

La composition du groupe fait la qualité du résultat : quatre à six personnes, dont obligatoirement un opérateur de la machine. Il connaît les modes qui n'ont jamais généré de bon de travail : le réglage refait deux fois par semaine, le bruit qui revient, la sécurité contournée. Absents de tout historique, ce sont souvent les plus critiques.

Mieux vaut plusieurs séances courtes qu'une journée entière : au-delà de deux heures, la notation devient mécanique. Une AMDEC se termine par un plan d'action daté.

• Choisir la machine sur l'historique d'arrêts, pas sur l'intuition.
• Écrire les trois échelles avant la séance, et les afficher.
• Réunir 4 à 6 personnes dont au moins un opérateur.
• Trier par criticité, puis affecter un pilote et une date.
• Fixer la date de recotation dès la première séance.

Ce que l'AMDEC change dans le plan de maintenance

Chaque ligne critique se traduit par l'un des quatre leviers, choisi selon la note qui est mauvaise.

L'apport principal est ailleurs que dans le tableau : un plan de préventif issu d'une AMDEC est justifié ligne par ligne. Il devient possible de défendre une gamme devant la production, et surtout de supprimer celle qui ne couvre aucun mode identifié. Le préventif hérité, reconduit sans que personne ne sache ce qu'il prévient, est le premier gisement de l'exercice.

La note de détection sert d'argument d'investissement : un mode grave coté au maximum en détection est le dossier chiffré qui justifie un capteur. Dans l'automobile, l'exercice n'est d'ailleurs pas facultatif : le référentiel IATF 16949 impose aux fournisseurs des analyses de modes de défaillance côté processus.

• Occurrence élevée → agir sur la cause : préventif systématique, modification technique, changement de composant.
• Détection élevée → agir sur la surveillance : capteur, seuil d'alarme, ronde, maintenance conditionnelle.
• Gravité élevée → agir sur la conséquence : pièce en stock, mode dégradé, redondance, protection.
• Les trois basses → ne rien faire, et l'écrire. Une ligne laissée sans action est une décision documentée, pas un oubli.

Les pièges qui vident une AMDEC de son intérêt

La méthode est simple, ce qui la rend facile à mal appliquer. Le dernier défaut est le plus insidieux : une AMDEC est un document vivant, qui se rouvre après chaque panne majeure — surtout si le mode constaté n'était pas au tableau — et après chaque modification de la machine.

• Coter seul à son bureau. La valeur vient de la confrontation des points de vue.
• Ne pas écrire les échelles. Chacun cote selon son humeur du jour.
• Inverser la détection. Noter 4 parce que « on détecte bien » fait remonter les modes les mieux surveillés en tête.
• Confondre cause et mode. On ne sait plus sur quoi agir.
• Tout coter au maximum par prudence. Si toutes les lignes sont critiques, plus aucune ne l'est.
• Ne jamais rouvrir l'analyse. Sans recotation, l'AMDEC est un document mort.

Questions fréquentes