Hubert BAZIN - Consultant : AMDEC

L'AMDEC

Dernière modification : 31.07.2011 Si vous pensez que ce dossier peut être utile à d'autres, faites-le savoir :

AMDEC...

AMDEC est l'acronyme pour Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité.
C'est une méthodologie rigoureuse visant à identifier les modes potentiels et traiter les défaillances avant qu'elles ne surviennent, avec l'intention de les éliminer ou de minimiser les risques associés ». Les "défaillances" peuvent être celles d'un objet, d'une machine, d'un service ou d'un processus quelconques. Mais en pratique les plus gros utilisateurs se retrouvent dans l'industrie manufacturière, et en particulier l'automobile et l'aéronautique.
Ce n'est pas étonnant : les défaillances d'un système de freinage sur une voiture, ou celles d'un réacteur d'avion peuvent avoir des conséquences dramatiques.

retour en haut de la page

Pourquoi ? à cause de la Loi de Murphy

Edward J Murphy, pas l'acteur, l'ingénieur

Le Capitaine Edward A. MURPHY Jr, ingénieur du Wright Field Aircraft Lab, travaillait entre 1947 et 1949 sur le projet MX 981 de l’US Air Force (qui avait pour objet de déterminer la décélération maximum qu’un humain pouvait endurer, ou en d’autres termes qui étudiait les crashs d’avions ou d'engins spatiaux…). Un jour qu’il constatait qu’un transducteur avait été mal câblé par un technicien, rendant inutiles les souffrances endurées par le Dr STAPP (qui faisait office de cobaye humain, et qui a encaissé, au long des essais, jusqu'à 40 g), il désigna le technicien en question en s’écriant «If there is a way to do thing wrong, he will !» (s'il est possible de mal faire quelque chose, il le fera!). La postérité aura retenu une version un peu plus large :

« If it can go wrong, it will. »,
ou encore, pour les non-anglophones : «Si quelque chose peut mal tourner, alors ça tournera mal».

Sur le document ci-contre, E.A. MURPHY est le "civil" et le Dr STAPP est casqué, allongé.

De très nombreuses autres formulations de cette loi existent, comme :
- la loi «de la tartine beurrée» : elle ne tombe jamais du côté du pain, sauf quand le sol est facile à nettoyer ;
- ou la loi « du chemisier neuf », qui est toujours le premier taché, ou déchiré.
La généralisation de la Loi de Murphy amène plusieurs corollaires :
- si plusieurs mauvais fonctionnements peuvent survenir, c’est celui qui va causer le plus de dommages qui surviendra ;
- si ça doit mal tourner, ça tournera mal, et au plus mauvais moment ;
- il est impossible de faire quelque chose de sûr même pour les maladroits : les maladroits sont bien trop ingénieux !
Ces lois sont bien entendu plaisantes à énoncer, et renvoient plus à la vie quotidienne qu’à la gestion du risque. Et pourtant… il est évident que si on laisse dans une installation la possibilité d’un mauvais branchement, alors on accepte le risque que quelqu’un réalise ce mauvais branchement, et on accepte donc les dégâts qui pourraient s’en suivre. Si ce sont des dégâts matériels, passe encore, mais si de la mauvaise manipulation résulte un dommage sur l’environnement ou une atteinte physique à la santé d’une personne, alors on ne doit plus l’accepter.

retour en haut de la page

Et aussi : à cause des lois statistiques

L'industrie, et particulièrement les activités de contrôle (à réception, ou en production), utilisent assez massivement les techniques statistiques.
On ne réalise le contrôle que sur un échantillon, et on décide de la conformité de la population dont l'échantillon est tiré. Cette manière de faire a de nombreux avantages:
- elle rend possible le contrôle lorsqu'il est destructif (si on doit allumer une à une toutes les alumettes que l'on produit, il ne restera rien à vendre !);
- elle permet de gagner du temps, et de livrer les clients le plus rapidement possible;
- elle est beaucoup moins coûteuse;
- et enfin, elle est logique si on maîtrise la production : si les paramètres de fabrication n'ont pas bougé, on doit supposer que toutes les pièces sont plus ou moins identiques, et donc il n'est pas utile de faire un contrôle à 100 %.
Mais tous les tests statistiques sont assortis d'un "niveau de risque". Et donc on sait que, de manière certaine, on prendra de temps en temps des décisions qui s'avèreront mauvaises. Ce ne sera pas de la "faute" de quiconque, simplement les statistiques nous rappelleront qu'elles ne permettent que de faire des approximations.
Et même, de manière exceptionnelle, la Loi de Murphy s'appliquera à un échantillon, absolument pas représentatif de la population, ou à une technique d'analyse, etc.

retour en haut de la page

Donc ...

Tout système organisé qui peut dysfonctionner, dysfonctionnera à coup sûr, un jour ou l'autre;
Le contrôleur qualité le mieux intentionné du monde, travaillant consciencieusement, avec de bons outils, etc., reste toujours à la merci des statistiques, et passera donc un jour ou l’autre à côté du défaut qu’il est chargé de repérer.
Le meilleur moyen pour ne pas livrer de produit défectueux ou pouvant dysfonctionner est donc de s’organiser pour prévenir l’apparition de défauts ! C'est précisément l'objet de l'AMDEC.
C'est vrai pour les produits de grande série; c'est vrai aussi pour les projets longs et coûteux; c'est encore vrai pour les systèmes liés à la sécurité; ça l'est toujours pour les systèmes d'armes...

retour en haut de la page

Historique

Dès 1949, l’armée US a normalisé, sous la référence MIL STD 1629, les « Procedures for Failure, Mode, Effects and Criticality Analysis », ou FMECA. Il s’agit d’une technique d’évaluation a priori des défaillances, dans le but de prouver la fiabilité d’un système. Les défaillances sont classées en fonction de leur impact sur le personnel, et sur le fonctionnement de l’équipement.
Depuis, la méthode a évolué, et on a pris en compte aussi les défaillances qui affecteront l’appréciation du client vis à vis du produit, ou la sécurité environnementale. La Norme QS 9000, adoptée par l’industrie automobile, a fait entrer l’AMDEC comme un outil de la planification qualité du procédé. Et en février 1993, l’Automotive Industry Action Group (AIAG) et l’American Society for Quality Control (ASQC) formalisent une nouvelle approche de l’AMDEC. Ils donnent à ce propos la définition suivante :

« L’AMDEC est un procédé systématique pour identifier les modes potentiels et traiter les défaillances avant qu'elles ne surviennent, avec l'intention de les éliminer ou de minimiser les risques associés ».
La Norme associée à l'AMDEC est la Norme CEI IEC 60812 de Janvier 2006; intitulée "Technique d'analyse de la fiabilité du système - Procédure d'analyse des modes de défaillance et de leurs effets (AMDE)". On verra plus loin que l'AMDE est un prolongement de l'AMDE : le calcul de la criticité n'est en effet pas systématique.
En France, il existe un fascicule publié par l’AFNOR sous la référence NF X 60 510.

retour en haut de la page

En pratique

L’AMDEC se conduit nécessairement en groupe multidisciplinaire, dont les membres sont compétents dans leur métier, formés à l’outil AMDEC, et aptes à travailler en commun.
La méthode passe toujours par une analyse de type qualitative :
- Analyse des causes de défaillance ;
- Analyse des modes de défaillance ;
- Analyse des effets de ces défaillances ;
Puis par l’évaluation quantitative :
- Évaluation de la fréquence d’apparition de ces défaillances ;
- Évaluation de la gravité de ces défaillances ;
- Évaluation de la probabilité que ces défaillances passent inaperçues.

retour en haut de la page

Les 3 AMDEC

On distingue classiquement trois types d’AMDEC, selon que l’on s’intéresse à un produit, à un moyen, ou à un procédé. Mais dans les trois cas, il s’agit de mettre en évidence les défaillances qui sont susceptible d’affecter un système qui, dès lors, n’est plus apte à assurer la fonction pour laquelle il a été conçu. La démarche pour conduire l'AMDEC sera donc la même, qual que soit le type
L'AMDEC produit. Son objectif est de « concevoir bon du premier coup ». L'AMDEC va alors :
- faciliter, grâce à la formalisation et à l’approche systématique, l’examen critique de la conception du produit;
- améliorer la définition du produit,
- valider le produit avant sa mise en production,
- orienter les choix techniques de réalisation
Bien souvent, on va retrouver dans le produit des systèmes de "détrompeurs" (les "poka-yoke"), comme les connecteurs informatiques, qu'on ne peut pas mettre à l'envers. C'est une façon élégante de garantir que le dysfonctionnement ne va pas survenir.
L'AMDEC moyen doit permettre d'augmenter le « MTBF » (Mean Time Before Failure, ou Temps Moyen de Bon Fonctionnement). En effet, les objets techniques que nous achetons aujourd'hui fonctionnent tous lors de leur première utilisation. Mais ce sont ceux qui durent longtemps qui sont qualifiés de "produits de qualité". Ici, l'AMDEC va :
- faciliter, grâce à la formalisation et à l’approche systématique, l’examen critique d’un moyen de production ;
- améliorer la définition du cahier des charges des machines ;
- permettre de valider les consignes de maintenance ;
- orienter les choix techniques ;
- intégrer la maintenance préventive comme un moyen de garantir la robustesse de l’outil.
On va s’attacher à identifier les causes possibles de défaillances d’une ligne de fabrication, ou d’une machine (que l’on ne peut pas modifier), pour mettre en place les systèmes de régulation ou de sécurité indispensables.

La maintenance préventive découle d’une AMDEC moyen, même lorsque la phase d’analyse n’est pas formalisée.
L'AMDEC procédé, dont l'objectif est de « concevoir un procédé qui ne puisse pas défaillir ». L'analyse va permettre de :
- faciliter, grâce à la formalisation et à l’approche systématique, l’examen critique d’un procédé ;
- réduire les causes d’occurrence de situations dangereuses ;
- orienter les choix techniques de réalisation ;
C’est une approche de conception : on travaille à imaginer ce qui pourrait survenir dans les conditions les plus improbables. Par exemple, un procédé industriel fait intervenir une base forte et un acide fort : il est donc possible que les deux entrent en contact fortuit, produisant entre autres effets un dégagement important de chaleur. L’élévation de température qui en résulte peut elle-même avoir des effets. Choisir un procédé dans lequel on n’a pas besoin de l’acide ou de la base fait disparaître la source de dysfonctionnement.

Dans cette analyse AMDEC procédé, on doit prendre en compte les variations possibles de qualité des matières premières qui pourraient être utilisées, et estimer l’impact que ces variations pourraient avoir.

retour en haut de la page

Les défaillances

L’AMDEC distingue 5 sortes de défaillances :
- défaillance complète (le système ne fonctionne pas du tout),
- défaillance partielle (par exemple, un téléviseur qui ne reçevrait plus qu'une seule chaîne),
- défaillance intermittente (par exemple, une lampe qui s'éteint toute seule au bout d'une demi-heure, puis qui se rallume seule lorsque la douille a refroidi),
- défaillance dans le temps (c'est le cas classique d'un système qui s'use),
- performance supérieure de la fonction (le ventilateur tourne à 1200 tours/minute, au lieu des 250 tours/minute prévus).
vocabulaire : on parle de mode, de cause et d'effet de la défaillance. Les 3 notions sont complémentaires, et s'enchaînent de la manière suivante :

Pour une vis, par exemple, on aurait :

retour en haut de la page

Déroulement de l'AMDEC

Une étude AMDEC est un projet, qui doit se dérouler comme tous les projets, avec un chef de projet, une équipe, des objectifs et une méthodologie. La démarche globale va être la suivante:
1 - recruter l'équipe. C'est une étape cruciale, comme chaque fois que l'on monte un groupe. Les participants doivent être compétents, disponibles, et surtout aptes à travailler en équipe. Les membres représentent les différents métiers de l'entreprise : production, maintenance, achats, contrôle, méthodes, bureau d'étude / R et D. Pas moins de 5 personnes, pas plus de 8 ou 9. L'animateur maîtrise l'AMDEC et l'animation de groupes de travail. Il n'est pas nécessairement un expert du domaine.
2 - délimiter la portée de l'étude. Elle doit être limitée très précisément, car quel que soit le système étudié, on ne peut pas oublier son environnement. De proche en proche, on en viendrait à réaliser l’AMDEC de l’usine entière !

Une fois la portée de l’étude définie, il faut accumuler les informations sur le produit (ou la machine, ou le procédé), sur ses pannes et ses défectuosités connues, sur les produits similaires et leurs performances, etc. Ceci sera indispensable pour attribuer une valeur à la gravité ou au risque de ne pas voir la défaillance, ou à la probabilité que la défaillance survienne.
3 - choisir le type d'approche le plus approprié à l'étude. On a globalement le choix entre deux approches :
- l'approche "mécanique" qui consiste à démonter (physiquement ou sur le papier) l'objet dont on réalise l'AMDEC. Ensuite, on trouvera les modes de défaillance de chacune des pièces.
  
  Cette approche ne fonctionne bien entendu que pour des objets existants.
- l'approche fonctionnelle. On recherche les fonctions que l'objet, le système, la machine, le procédé... doit assurer, via une analyse fonctionnelle "classique" (avec les outils que le groupe a l'habitude d'utiliser (méthode APTE^®, SADT, bloc-diagramme fonctionnel, ou autre). Ensuite, il suffit de considérer qu'une défaillance, c'est une fonction qui n'est plus assurée, ou assurée de manière partielle, intermittente, ou encore qui est "trop bien" assurée, etc.
L'approche fonctionnelle est toujours utilisable, et donne lieu à des AMDEC plus complètes, mais elle nécessite un apprentissage de la part du groupe de travail. C'est pourquoi elle est souvent délaissée dans le cas d'AMDEC produit ou d'AMDEC moyen au profit de la décomposition "mécanique".
4 - définir les unités qui seront analysées: ce seront les pièces, ou des ensembles de pièces dont on étudiera les défaillances.
5 - évaluer les modes de défaillances: le mode de défaillance, c'est la manière dont la défaillance se manifeste. Il ne faut surtout pas se poser la question "est-ce que ce type de défaillance peut arriver ?" car - Murphy oblige - la défaillance se produira tôt ou tard. Il faut se demander "exsite-t-il une autre manière de défaillir pour ce système ?". Bien entendu, il peut y avoir plusieurs modes de défaillances pour une même fonction. Par exemple, pour l'interrupteur d'une lampe-torche, les modes de défaillance pourraient être :
- "bloqué en position allumée",
- "bloqué en position éteinte",
- "ne reste pas en place",
- "l'allumage ne se fait pas (alors que l'interrupteur est en place)".
6 - déterminer les effets associés aux modes de défaillance identifiés. L'effet vient après la défaillance, il ne faut pas prendre l'un pour l'autre. Pour reprendre l'exemple de la lampe-torche, les effets seraient, respectivement :
- "impossible d'éteindre la lampe-torche, les piles se vident",
- "impossible d'allumer la lampe-torche, l'utilisateur ne peut pas faire de lumière",
- "l'utilisateur doit garder constamment le doigt appuyée sur l'interrupteur, il ne peut pas poser la lampe-torche",
- "l'utilisateur ne peut pas faire de lumière".
7 - identifier les causes des défaillances. Le mode de défaillance est une chose, il faut trouver la ou les causes associées. En effet, deux causes différentes peuvent amener au même effet. Pour finir avec l'exemple de la lampe-torche, on aurait, toujours respectivement :
- "déformation du corps de la lampe-torche", "déformation du bouton-poussoir",
- "déformation du corps de la lampe-torche", "déformation du bouton-poussoir", "oxydation des contacts"
- "déformation du corps de la lampe-torche", "déformation du bouton-poussoir", "déformation du contact"
- "oxydation du contact", "contact souple cassé".
8 - réaliser l'étude de criticité. Il s'agit là de la partie quantitative de l'étude. On doit noter:
- la Gravité des effets associés chaque mode de défaillance (on parle de "facteur G", ou parfois de "S", pour l'anglais Severity) ;
- la Fréquence d'apparition de chaque mode de défaillance - elle découle des causes (on parle de "facteur F", ou parfois de "O", pour l'anglais Occurence) ;
- la probabilité de ne pas détecter le mode de défaillance (on parle de "facteur D").
- La Criticité C se définit alors comme le produit des trois facteurs : C = G x F x D

retour en haut de la page

Le calcul de la criticité est-il toujours indispensable ?

La méthodologie de base est l'AMDE, dans laquelle on ne se préoccupe pas de criticité :
- soit parce que l'on va s'atttacher à éliminer tous les modes de défaillance; il serait donc inutile de perdre du temps à réaliser un classement ! C'est le cas en particulier lorsque l'on travaille sur une toute petite pièce.
- soit parce que l'analyse de la situation nous montre que les mesures de maîtrise sont insuffisantes (et parfois même inexistantes !). Il suffit alors de modifier les manières de faire pour améliorer les choses.
On peut donc parfois sauter l'étape n°8 ci-dessus.
L'AMDEC est en revanche indispensable dès lors que l'on travaille sur des machines, ou plus généralement sur des systèmes composé de plusieurs sous-ensembles, car les mesures de maîtrise ne seront alors jamais simple ni à imaginer, ni à valider.

retour en haut de la page

Comment coter G, F et D ?

Avant de commencer la cotation, on définit les échelles. Il n'y en a pas d'absolue, c'est le groupe de travail qui décide. Bien entendu, si le client exige qu'une certaine échelle soit utilisée, on n'aura pas le choix...
Si, au cours de l'exercice, on décide que l'échelle choisie initialement ne fait pas l'affaire, et qu'il faut introduire un échelon supplémentaire, ou déplacer une limite, alors on ré-évalue la totalité des défaillances. On ne peut pas faire un travail utile si les criticités des différents modes de défaillance n'ont pas été évaluées de la même manière. En particulier, il ne sera pas possible de décider de l'ordre de priorité des actions à mettre en place.

Coter l'indice de Gravité. La gravité d'une défaillance peut revêtir plusieurs aspects : la sécurité de l'utilisateur, la perte de fonctionnalité, la

Vous trouverez ci-dessous une table en 5 niveaux, utilisée pour les défaillances d'un moyen de production. Ce n'est qu'une proposition, que chaque groupe de travail peut adapter à son besoin, son environnement, sa problématique.

facteur G		critères d'évaluation
note	niveau de gravité	durée arrêt (min)	impact sur la qualité produit	impact sur le matériel	impact sur la sécurité
1	mineur	≤ 3	-	défaillance mineure, matériel intact	-
2	moyen	3 à 20	-	défaillance moyenne, matériel rapidement réparable	-
3	majeur	20 à 60	non conformité, constatée et corrigée au poste de travail	défaillance importante, réparation longue	-
4	catastrophique	≥ 60	non conformité détectée par le client aval, en interne	défaillance grave, dommage matériel important, l'environnement autour de la machine est atteint	-
5	inacceptable	-	non conformité constatée par le client final ou par l'utilisateur	destruction du moyen de production nécessitant son remplacement	accident mettant en cause la sécurité des personnes

Coter l'indice de Fréquence. L'estimation de la fréquence d'une défaillance n'est pas facile - surtout lorsqu'on travaille à la conception d'un outil. On pourra s'appuyer sur des statistiques (si l'on possède un historique), sur des informations apportées par un fournisseur, ou sur une fréquence d'exposition au risque.

Vous trouverez ci-dessous une table en 4 niveaux, toujours pour les défaillances d'un moyen de production. Comme la table ci-dessus, ce n'est qu'une proposition à adapter.

facteur F		fréquence d'apparition de la défailance, ou probabilité que la cause se produise et qu'elle entraîne le mode de défaillance
note	niveau de fréquence
1	pratiquement inexistant	défaillance pratiquement inexistante sur des installations similaires en exploitation. Au plus, 1 défaut dans la durée de vie du moyen de production.
2	rare	défaillance rarement apparue sur du matériel similaire existant en exploitation (à titre indicatif : un défaut par an) ou Composant d’une technologie nouvelle pour laquelle toutes les conditions sont théoriquement réunies pour prévenir la défaillance, mais il n’y a pas d’expérience sur du matériel réellement exploité.
3	occasionnel	défaillance apparue occasionnellement sur du matériel similaire existant en exploitation. (à titre indicatif : 1 défaut par trimestre.)
4	fréquent	défaillance apparue fréquemment sur un composant connu ou sur du matériel similaire en exploitation. (à titre indicatif : 1 défaut par mois.)

Coter l'indice de non-Détectabilité. Rien n'est pire qu'une défaillance inopinée : on n'a pas pu anticiper, s'organiser; les risques d'accidents corporels sont élevés; les temps d'arrêt induits sont élevés.

Il vaut toujours mieux détecter une cause de défaillance, sinon on détectera un effet. Si ni l'un ni l'autre ne sont posibles, mettre en place un système d'alerte (par exemple : les plaquettes de freins usées qui allument un voyant sur le tableau de bord d'une automobile).

Vous trouverez ci-dessous une table en 4 niveaux, toujours pour les défaillances d'un moyen de production. Comme la table ci-dessus, ce n'est qu'une proposition à adapter.

facteur D		probabilité que la cause ne soit pas détectée, ou que le mode de défaillance atteigne l’utilisateur du moyen.
note	niveau de fréquence
1	détection assurée	les dispositions prises assurent une détection totale de la cause initiale ou du mode de défaillance, permettant ainsi d’éviter l’effet le plus grave provoqué par la défaillance pendant la production.
2	détection possible	la cause ou le mode de défaillance sont détectables, mais le risque de ne pas être perçu existe.
3	détection aléatoire	la cause ou le mode de défaillance sont difficilement décelables, ou les éléments de détection sont peu exploitables.
4	non détectable	rien ne permet de détecter la défaillance avant que l’effet ne se produise.

Un accident qui mettrait en cause un chariot élévateur venant percuter le moyen de production (la machine) à l'intérieur de l'atelier est imprévisible; il sera toujours coté au niveau le plus élevé (ici : 4). Le fait que les conséquences ne puissent jamais passer inaperçues ne change rien au fait que l'on n'a pas pu anticiper la défaillance du système, et donc que rien n'a pu être mis en place pour en minimiser les conséquences.

retour en haut de la page

La Criticité

Une fois que l'on a coté les facteurs G, F et D, on calcule la criticité (c'est le produit des trois facteurs). Avec les 3 grilles de cotation, les valeurs de criticité vont varier de 1 à 80, en 25 modalités (25 "échelons"). Vous devez à présent fixer une valeur-seuil, une criticité inacceptable.
Ça pourra être par exemple C ≥ 18 (c'est à dire un facteur coté 2, et les deux autres cotés 3 ou plus). Mais vous pouvez également fixer une limite critique pour G ≥ 4, et/ou pour F = 4. C'est au groupe de travail de fixer la limite. En toute rigueur, cette limite devrait être fixée avant de commencer les cotations (pour ne pas être tentés de choisir une limite que l'on sait déjà atteinte...)

retour en haut de la page

Les décisions

Il s'agit là de la dernière étape de l'AMDEC. Il faut à présent décider d'actions qui vont permettre de baisser le niveau de criticité des modes de défaillances critiques.
On commencera par essayer de diminuer G. Si c'est impossible, on essaiera de diminuer F. SInon, on travaillera sur l'amélioration de la détectabilité (facteur D).
Bien entendu, on ne prendra pas d'action qui n'aurait de "corrective" que le nom, c'est à dire qui ne ferait pas diminuer G, F ou D.
On recommence la cotation des défaillances une fois les actions prévues. On obtient alors des nouvelles valeurs G', F' et D' - qui permettent de calculer C'.
On vérifie que C' ne dépasse plus la limite critique.
L'AMDEC est alors terminée !

retour en haut de la page

La feuille AMDEC

L'AMDEC est une méthodologie assez rigide, et les enregistrements des AMDEC sont généralement réalisés dans des formes assez strictement définies.

Les feuilles d'AMDEC ressemblent souvent à ceci :

retour en haut de la page

Si vous souhaitez être aidés pour mettre en place, ou pour revoir vos AMDEC, écrivez-moi...

Vous pouvez partager cet article :

Share |

Conception et réalisation : © Hubert BAZIN