AMDEC : méthode, cotation G × O × D et exemple complet

Une AMDEC (analyse des modes de défaillance, de leurs effets et de leur criticité) est une démarche d’analyse des risques : elle recense tout ce qui peut lâcher dans un produit, un procédé ou une machine, puis classe chaque défaillance potentielle par sa criticité pour décider où agir en premier. Elle produit un seul livrable : un tableau où chaque ligne relie une cause, un mode de défaillance et un effet, avec trois notes et un plan d’action. Son efficacité tient à une condition : la mener en phase de conception ou avant la mise en œuvre d’un procédé, quand une modification coûte encore peu.

3 notes

gravité, occurrence, détection, de 1 à 10

1 à 1 000

l’échelle de la criticité G × O × D

7 étapes

dans le manuel AIAG-VDA de 2019

1 tableau

le livrable, tenu à jour

Il vous faut : une équipe de plusieurs métiers (conception, production, qualité, maintenance ou après-vente), la décomposition du système, une grille de cotation fixée d’avance et quelques séances de travail. Sur toute la page, nous suivons le même exemple : une pompe de relevage d’eaux usées pour maison individuelle. Ses six lignes sont reprises, remplies, dans notre modèle de tableau AMDEC à télécharger, avec deux autres exemples (processus et moyen).

Ce qu’est une AMDEC, et ce qu’elle n’est pas

L’AMDEC est la traduction de la FMECA anglaise (failure mode, effects and criticality analysis). Sans la cotation de criticité, on parle d’AMDE (FMEA) : on liste les défaillances et leurs effets sans les classer. La norme de référence est la NF EN IEC 60812, version française de la CEI 60812 publiée en 2018, qui décrit la procédure de l’AMDE et de l’AMDEC pour tout type de système.

La méthode est inductive : elle part de chaque composant ou de chaque opération et remonte vers l’effet sur le client. L’arbre de défaillances fait l’inverse : il part d’un événement redouté et descend vers ses causes. Les deux se complètent ; l’AMDEC couvre large, l’arbre creuse un événement grave. L’analyse AMDEC reste qualitative tant que les notes viennent du jugement de l’équipe ; elle devient une analyse de fiabilité quand l’occurrence s’appuie sur des taux de défaillance mesurés.

L’origine est militaire : la procédure figure dès 1949 dans le document MIL-P-1629 des forces armées américaines, repris en 1980 sous le nom MIL-STD-1629A. L’aéronautique et le spatial l’adoptent dans les années 1960, puis l’industrie automobile, qui publie en 2019 le manuel commun AIAG-VDA, aujourd’hui la référence des fournisseurs automobiles.

L’ISO 9001 ne rend pas l’AMDEC obligatoire. Elle demande de déterminer les risques et opportunités et de planifier des actions pour les traiter : l’AMDEC est une façon reconnue d’en apporter la preuve, surtout en conception et en production. Dans l’entreprise, elle sert donc la gestion des risques qualité, alimente le management des risques d’un projet, et en maintenance industrielle la définition du plan de maintenance préventive.

Quand la lancer. Le meilleur moment est celui où une modification coûte encore peu : avant le gel de la conception pour un produit, avant la mise en service de la ligne pour un procédé, à l’achat pour une machine. Elle se rouvre ensuite à chaque changement (nouveau matériau, nouveau fournisseur, nouvelle cadence) et après chaque incident qu’elle n’avait pas prévu. Une AMDEC faite après coup, pour un audit, documente des décisions déjà prises : elle coûte le même temps et ne prévient plus rien.

AMDEC produit, processus ou moyen : ce qui change

La formule ne change pas, l’objet analysé si. Les principaux types d’AMDEC, au nombre de trois, couvrent la plupart des besoins de l’industrie ; d’autres variantes existent (AMDEC service, AMDEC logiciel, AMDEC sur un projet), avec la même logique appliquée à une activité ou à un code.

L’AMDEC processus répond à la question « comment fabriquer ce produit sans créer de défaut ? » ; l’AMDEC moyen de production à « comment garder la machine disponible et sûre ? ». Les trois se cotent avec G × O × D, mais chacune a sa propre grille : la gravité d’une panne de machine se juge sur l’arrêt et la sécurité, celle d’un défaut de produit sur le client.

Conduire une AMDEC pas à pas sur une pompe de relevage

Les sept étapes suivent la logique du manuel AIAG-VDA : préparer, décomposer, écrire les fonctions, analyser les défaillances, coter, agir, documenter. L’exemple est une AMDEC produit menée avant la mise en production d’une pompe de relevage : une pompe immergée dans une cuve, démarrée par un flotteur quand l’eau monte, qui refoule les eaux usées vers le réseau.

1. Préparer : périmètre, équipe, grille

Fixez la frontière du système par écrit, avant la première séance. Ici : de l’entrée de l’eau dans la cuve jusqu’au refoulement, câble d’alimentation compris, installation électrique de la maison exclue. Notez ce qui est hors champ, sinon chaque séance le rediscute.

Réunissez le groupe de travail : conception, essais, qualité et après-vente, qui connaît les retours des clients. Un animateur tient le tableau et la méthode ; il ne cote pas à la place des experts. Prévoyez des séances de deux heures environ, avec les plans, les résultats d’essais et l’historique des retours sous la main : une analyse de défaillance sans données tourne à l’échange d’opinions.

Choisissez la grille de cotation et le seuil d’action avant de coter la première ligne. Une grille changée en cours d’analyse rend les criticités incomparables.

2. Décomposer le système

Découpez la pompe en éléments, du système au composant : flotteur, moteur, roue, clapet anti-retour, câble d’alimentation. Un niveau de détail suffit pour une première AMDEC ; on descend d’un niveau seulement là où la criticité le justifie.

La décomposition fixe aussi l’ordre de travail : un élément après l’autre, toutes ses fonctions, puis le suivant. Sauter d’un composant à l’autre au fil des idées est la façon la plus sûre d’en oublier un.

3. Écrire les fonctions

Donnez à chaque élément sa fonction, avec un verbe et un critère vérifiable. Le flotteur commande le démarrage de la pompe quand l’eau atteint le niveau haut ; la roue refoule l’effluent ; le clapet anti-retour empêche l’eau refoulée de redescendre ; le câble conduit le courant sans exposer l’utilisateur.

Ce travail reprend les résultats de l’analyse fonctionnelle quand elle existe. Une défaillance n’est rien d’autre qu’une fonction mal remplie : sans fonction écrite, on ne sait pas ce qui défaille. Notez aussi les exigences qui portent sur chaque fonction (débit, hauteur de refoulement, sécurité électrique de l’utilisateur) : elles serviront à juger la gravité.

4. Trouver modes de défaillance, effets et causes

Pour chaque fonction, cherchez comment elle peut ne pas être remplie (le mode de défaillance), ce que le client subit (l’effet) et pourquoi cela arrive (la cause). Écrivez une ligne par cause : un même mode qui a deux causes prend deux lignes, car les actions ne seront pas les mêmes.

Sur l’exemple, le flotteur peut rester bloqué en position basse. Effet : la pompe ne démarre pas, la cuve déborde, le local est inondé. Deux causes : le câble du flotteur se coince contre la paroi de la cuve, ou des graisses et des fibres collent sur l’articulation. Les autres lignes : moteur grillé après un fonctionnement à sec, roue bloquée par une lingette, clapet qui fuit, isolant du câble percé à l’entrée du corps.

Pour chercher les causes sans en oublier, un diagramme d’Ishikawa par mode de défaillance grave aide le groupe : il range les causes possibles par famille (matière, méthode, machine, main-d’œuvre, milieu). Notez enfin le contrôle actuel de chaque cause : ce qui existe aujourd’hui pour la prévenir ou la détecter.

5. Coter G, O, D et calculer la criticité

Cotez chaque ligne avec la grille, sur la base des données disponibles (essais, retours, historique) : Gravité de l’effet, Occurrence de la cause, Détection par le contrôle actuel. Évaluer à plusieurs réduit l’écart entre deux experts : chacun propose sa note, l’équipe discute les écarts de plus de deux points. La criticité est leur produit, C = G × O × D, entre 1 et 1 000.

La règle qui évite la plupart des erreurs : cotez la détection sur le contrôle qui existe aujourd’hui, pas sur celui que vous comptez ajouter. Un « aucun » vaut 9 ou 10. La gravité se cote sur la conséquence la plus grave de l’effet, l’occurrence sur la probabilité de la cause, la détectabilité sur la chance d’arrêter le défaut avant le client.

Trois lignes dépassent 250 : les deux causes du flotteur et la roue. Elles concentrent le risque de la pompe, et c’est là que l’équipe porte son effort.

6. Décider des actions

Appliquez le seuil fixé à l’étape 1. Dans cet exemple, une ligne appelle une action si C atteint 100 ou si G atteint 9 : la règle de gravité rattrape la ligne du câble, notée 40 mais dangereuse pour l’utilisateur. Le seuil est un choix de l’entreprise, pas une valeur de norme.

Cherchez d’abord à réduire l’occurrence (supprimer la cause par une action préventive de conception), ensuite à mieux détecter ; une action corrective sur la seule détection laisse la défaillance se produire. Les actions retenues :

• guide de câble moulé sur le corps de pompe, pour le câble coincé ;
• flotteur sans articulation (interrupteur à bille) et alarme de niveau haut en option, pour les graisses ;
• roue vortex à passage libre de 35 mm, pour les lingettes ;
• presse-étoupe surmoulé, avec essai de traction en qualification, pour le câble.

Chaque action reçoit un responsable et une échéance. Le moteur (96) et le clapet (75) restent sous le seuil : on garde leur contrôle actuel, sans l’oublier pour autant, car une modification future peut les faire remonter.

7. Recoter et documenter

Une fois l’action faite et prouvée (essai, plan modifié), recotez la ligne. La gravité ne bouge presque jamais : l’effet reste le même si la défaillance survient. Ce sont l’occurrence et la détection qui baissent.

Le tableau garde la trace de tout : qui a décidé quoi, quand, avec quelle preuve. Dans une AMDEC processus, il nourrit aussi le plan de surveillance de la ligne : chaque contrôle retenu y devient une opération avec sa fréquence et sa réaction en cas d’écart. Rouvrez l’AMDEC à chaque modification du produit, à chaque nouveau fournisseur et à chaque retour client qui révèle une défaillance oubliée. Le suivi de ces lignes est un bon indicateur de la démarche : nombre d’actions ouvertes, actions en retard, criticité résiduelle maximale.

La grille de cotation de 1 à 10

Voici une grille d’exemple, dans l’ordre de grandeur courant des AMDEC industrielles. Adaptez les libellés à votre produit, puis ne la touchez plus pendant l’analyse.

Les notes intermédiaires (7, 5, 3) se placent entre deux lignes. Le modèle à télécharger donne la grille complète de 1 à 10 pour les trois critères. Deux règles : une note de détection de 1 n’existe qu’avec un détrompeur (poka-yoke), et l’occurrence se cote sur des données (retours, essais, historique de maintenance) dès qu’il y en a, à dire d’expert sinon.

De l’IPR à la priorité d’action AIAG-VDA

Le produit G × O × D s’appelle aussi IPR, indice de priorité de risque (risk priority number, RPN). Il a un défaut connu : il met les trois notes sur le même plan. Prenez deux lignes :

• G = 10, O = 2, D = 5 : C = 100 ;
• G = 4, O = 5, D = 5 : C = 100.

Même criticité, mais la première peut blesser quelqu’un, la seconde gêne le client. Avec un seuil à 120, aucune des deux ne serait traitée : la limite de l’IPR est de hiérarchiser par un produit qui efface la conséquence.

Le manuel AIAG-VDA de 2019 abandonne l’IPR au profit d’une priorité d’action (action priority) : élevée, moyenne ou faible. Elle se lit dans une table qui croise les trois notes et donne le poids d’abord à la gravité, puis à l’occurrence, puis à la détection. Une bonne détection ne suffit donc plus à faire passer une gravité élevée sous le radar. Pour une gravité de 9 ou 10 en priorité élevée ou moyenne, le manuel recommande en plus d’informer la direction des actions prévues. Les clients automobiles exigent cette table de leurs fournisseurs.

Ce que nous conseillons : dans l’automobile, suivez le manuel et sa table. Ailleurs, gardez G × O × D, plus simple à expliquer, mais ajoutez toujours une règle de gravité (G de 9 ou 10 traité quelle que soit la criticité), comme dans notre exemple.

Ce qui fait rater une AMDEC

Le contrôle du résultat, du point de vue de l’utilisateur comme de l’entreprise, tient en trois questions : chaque ligne au-dessus du seuil a-t-elle une action, chaque action close a-t-elle sa recotation, et la criticité résiduelle passe-t-elle sous le seuil ?

L’AMDEC est un outil de prévention parmi ceux de l’amélioration continue : elle anticipe les défaillances que l’Ishikawa et les 5 pourquoi analysent une fois qu’elles sont arrivées. Le plus court chemin pour démarrer : télécharger le modèle de tableau, remplacer la pompe par votre système, et fixer la grille avec l’équipe avant la première ligne.