Un analyseur tombe en panne au milieu d’une série d’essais, ou délivre des résultats instables alors que son certificat d’étalonnage est encore valide. La sûreté de fonctionnement aide à traiter ces situations en examinant la fiabilité, la maintenabilité, la disponibilité et la sécurité, mais le bon outil dépend de la défaillance redoutée.
La performance se juge sur le service rendu et les risques maîtrisés
- Fiabilité : l’équipement remplit sa fonction pendant la durée prévue.
- Disponibilité : il est en état de fonctionner au moment où vous en avez besoin.
- Maintenabilité : il peut être remis en service dans des conditions et un délai définis.
- Sécurité : ses défaillances ne doivent pas entraîner de dommages inacceptables.
- Choix de méthode : l’AMDEC part des modes de défaillance, l’arbre de défaillances part d’un événement redouté.
Un certificat valide ne garantit pas que l’équipement rendra le service attendu
Un étalonnage conforme renseigne sur les performances métrologiques de l’instrument dans les conditions de l’essai. Il ne prouve pas qu’il fonctionnera sans interruption, qu’il sera réparable rapidement ni qu’une panne ne créera pas de danger. La métrologie et la sûreté de fonctionnement répondent à des questions différentes, même si elles se rejoignent dans l’usage quotidien d’un appareil.
Pour un instrument de laboratoire, la dérive d’un capteur peut compromettre la validité d’une série sans provoquer de panne visible. À l’inverse, un arrêt net peut interrompre une mesure tout en laissant intactes les données déjà acquises. Je considère qu’une analyse utile commence par la fonction attendue et les conséquences de sa perte, plutôt que par une liste de composants.
La disponibilité peut rester bonne malgré des pannes fréquentes
Un équipement qui tombe souvent en panne mais se répare vite peut être disponible une grande partie du temps. Un appareil rarement défaillant peut, lui, rester immobilisé longtemps faute de pièce ou de technicien. La fréquence des pannes et la durée d’indisponibilité doivent donc être suivies séparément.
Les quatre dimensions se complètent : la fiabilité porte sur le fonctionnement sans défaillance, la maintenabilité sur la remise en état, la disponibilité sur l’aptitude à être opérationnel au besoin, et la sécurité sur les dommages possibles. Une décision de maintenance fondée uniquement sur le nombre de pannes risque de manquer le problème qui coûte le plus cher : des arrêts longs, des résultats inutilisables ou une situation dangereuse.
Choisissez l’AMDEC pour explorer les pannes et l’arbre pour remonter à un accident
Face à un équipement complexe, le choix de méthode change la question posée. L’AMDEC examine systématiquement chaque fonction ou élément, puis les modes de défaillance possibles et leurs effets. L’arbre de défaillances part au contraire d’un événement redouté, comme une fuite ou une perte de confinement, et décompose les combinaisons de causes susceptibles de le produire.
La norme IEC 60812:2018 décrit la préparation, la réalisation et la mise à jour d’une AMDEC ou d’une AMDEC avec analyse de criticité. Elle précise que cette norme générique ne fournit pas, à elle seule, de recommandations spécifiques pour démontrer la sécurité. Pour les machines, ISO 12100:2010 fournit une méthode d’appréciation et de réduction du risque sur le cycle de vie. Les deux approches ne sont donc pas interchangeables.
| Situation analysée | Méthode adaptée | Ce qu’elle apporte |
|---|---|---|
| Vous cherchez comment une pompe de dosage pourrait perdre sa fonction. | AMDEC | Une revue structurée des modes de panne et de leurs effets locaux ou sur le système. |
| Vous cherchez les enchaînements pouvant provoquer une fuite dangereuse. | Arbre de défaillances | Une représentation logique des causes seules ou combinées menant à l’événement redouté. |
| Vous devez juger le risque lié à l’utilisation d’une machine. | Appréciation du risque selon ISO 12100 | Un cadre de réduction du risque qui dépasse le simple classement de pannes. |
Une AMDEC ne suffit pas à prouver qu’un équipement est sûr
Une grille bien remplie peut donner une impression de maîtrise alors qu’elle ne couvre pas toutes les interactions. L’AMDEC est puissante pour passer en revue des défaillances élément par élément, mais un scénario provoqué par plusieurs causes simultanées peut échapper à cette lecture. Quand l’accident redouté dépend d’une combinaison de pannes, l’analyse doit aussi examiner ces combinaisons.
Voici une règle de choix simple : si la question porte sur « comment cette fonction peut-elle échouer ? », partez d’une AMDEC ; si elle porte sur « quelles combinaisons peuvent produire cet événement dangereux ? », construisez un arbre de défaillances. Si les deux questions sont présentes, utilisez les méthodes en complément, puis vérifiez les mesures de réduction du risque et les preuves associées.
Un écart de mesure et un arrêt machine appellent des réponses différentes
Dans un laboratoire, les symptômes ne désignent pas toujours la même cause. Un résultat qui dérive peut signaler un problème métrologique, une dégradation de l’instrument ou une condition d’utilisation qui a changé. Le tableau ci-dessous sert à orienter l’analyse avant de décider d’une réparation ou d’une remise en service.
| Situation observée | Cause ou conséquence à envisager | Action à engager |
|---|---|---|
| Résultats hors tolérance, mais appareil opérationnel | Dérive, réglage inadéquat ou conditions d’essai différentes | Isoler les résultats concernés, vérifier les conditions de mesure et contrôler l’instrument selon la procédure métrologique applicable. |
| Pannes répétées, remise en service rapide | Fiabilité insuffisante malgré une disponibilité parfois acceptable | Relever le mode de panne et sa fréquence, puis examiner l’AMDEC et les causes récurrentes. |
| Arrêt prolongé faute de pièce ou d’intervention | Maintenabilité ou soutien logistique insuffisant | Examiner l’accès aux pièces, les délais de réparation et les moyens de diagnostic avant de modifier la périodicité de maintenance. |
| Défaillance susceptible de blesser une personne ou de libérer une substance | Événement dangereux dont la gravité peut dominer le classement global | Traiter le risque de sécurité selon une analyse dédiée et ne pas conclure à l’acceptabilité sur le seul score de criticité AMDEC. |
Un score de criticité aide à prioriser les actions, mais il dépend des échelles retenues et de la qualité des données. Une gravité élevée mérite un traitement explicite, même si une combinaison de notes produit un score qui semble modéré.
La meilleure analyse débouche sur des preuves vérifiables
Une étude de sûreté de fonctionnement devient utile quand ses conclusions se traduisent en exigences, responsabilités et vérifications. Pour chaque action, consignez le défaut visé, la mesure retenue, la personne chargée de la mettre en œuvre et la preuve attendue, par exemple un essai, une inspection ou un historique de maintenance.
Dans le cas d’un instrument de laboratoire, cette trace permet de relier la disponibilité de l’appareil à la validité des mesures : un retour en service technique ne signifie pas automatiquement que les résultats sont de nouveau exploitables. Le bon critère final reste le service rendu dans les conditions prévues, sans risque inacceptable.