Comment calcule-t-on la criticité en AMDEC ?

La criticité, ou indice de priorité de risque, est le produit des trois notes : IPR = Gravité × Occurrence × Détection. Sur des échelles de 1 à 10, elle varie de 1 à 1 000. Elle hiérarchise les modes de défaillance, elle ne décide pas à leur place.

Pourquoi ne faut-il pas trier une AMDEC par criticité décroissante ?

Parce qu'une gravité de 9 ou 10 — atteinte à la sécurité ou non-conformité réglementaire — exige une action même à criticité faible. Un mode rare et bien détecté garde un IPR modeste tout en restant mortel le jour où il se produit : trié par IPR décroissant, il se retrouve enterré au milieu du tableau.

Comment note-t-on la détection en AMDEC ?

À l'envers des deux autres notes : 1 signifie que la défaillance est détectée à coup sûr avant que son effet se produise, 10 qu'aucun moyen ne permet de la voir venir. C'est la seule échelle contre-intuitive de la méthode, et l'inverser retourne le classement entier.

Quel seuil de criticité déclenche une action ?

100 sur une échelle de 1 à 1 000 est l'usage le plus répandu, avec une zone de surveillance à partir de 40. Le chiffre exact importe moins que le fait de le fixer avant de remplir le tableau et de ne plus y toucher ensuite.

Sur quel levier agir en priorité après une AMDEC ?

Presque toujours la détection, parce que c'est le moins coûteux : voir venir une défaillance ne demande pas de reprendre la conception. La gravité ne se réduit que par un changement d'architecture, et l'occurrence par une reprise de conception ou de composant.

Faut-il faire l'analyse fonctionnelle avant l'AMDEC ?

Oui. Partir des composants produit une liste de pannes imaginées, incomplète et biaisée vers ce que l'équipe connaît. Partir des fonctions garantit la couverture : une AMDEC faite sans analyse fonctionnelle préalable est une AMDEC dont on ne peut pas dire si elle est complète.

Guide · Méthode

L'AMDEC d'une machine : la méthode, et le tableau rempli sur un cas réel

Une AMDEC ne s'invente pas composant par composant : elle se déduit de l'analyse fonctionnelle. Chaque fonction identifiée est une fonction qui peut défaillir. Le tableau déroulé ici part des six fonctions d'un AGV porte-palettes réel, dont l'analyse fonctionnelle complète est publiée sur ce site.

Référentiel : NF EN 60812 (modes de défaillance et effets) · échelles 1–10 d'usage industriel

Ce qu'une AMDEC est, et ce qu'elle n'est pas

L'AMDEC répond à trois questions, dans l'ordre : comment ça peut défaillir, qu'est-ce que ça fait, et est-ce qu'on le verra venir. Elle produit une hiérarchie des défaillances à traiter, pas un jugement de conformité.

Elle ne remplace donc pas l'analyse de risque au sens de l'ISO 12100, qui porte sur les phénomènes dangereux pour les personnes et conditionne le marquage. Les deux se recoupent — un mode de défaillance peut être un phénomène dangereux — mais elles ne répondent pas à la même question et ne s'écrivent pas au même moment. Confondre les deux fait généralement perdre les deux.

Trois familles cohabitent aussi sous le même sigle : l'AMDEC produit, qui porte sur l'équipement en service — c'est celle déroulée ici ; l'AMDEC processus, sur les étapes de fabrication ; l'AMDEC moyen, sur l'outil de production lui-même. Même méthode, objets différents.

Elle se déduit de l'analyse fonctionnelle

C'est le point qui change tout, et c'est celui qu'on saute le plus souvent. Partir des composants produit une liste de pannes imaginées, forcément incomplète et biaisée vers ce que l'équipe connaît déjà. Partir des fonctions garantit la couverture : si une fonction a été identifiée comme nécessaire, sa défaillance a par construction un effet.

La conséquence pratique est brutale : une AMDEC faite sans analyse fonctionnelle préalable est une AMDEC dont on ne peut pas dire si elle est complète. Elle listera peut-être vingt modes ; rien ne dira lesquels manquent.

L'exemple ci-dessous part donc des six fonctions établies dans le guide d'analyse fonctionnelle — deux fonctions principales, quatre contraintes. Un mode par fonction, ce qui est un minimum : en séance, chaque fonction en produit souvent deux ou trois.

Les trois notes, et le piège de la troisième

Chaque mode reçoit trois notes de 1 à 10. Les grilles ci-dessous sont d'usage courant ; ce qui compte n'est pas leur libellé exact mais qu'elles soient fixées avant la première séance et identiques pour tout le monde.

Gravité (G)

1Aucun effet perceptible

2 – 3Gêne mineure, aucune perte de fonction

4 – 6Perte de performance, fonction dégradée

7 – 8Perte de la fonction principale, arrêt de production

9 – 10Atteinte à la sécurité ou non-conformité réglementaire

Occurrence (O)

1Improbable — aucun antécédent

2 – 3Rare — quelques cas connus sur des produits voisins

4 – 6Occasionnelle — se produit sur ce type d'équipement

7 – 8Fréquente — plusieurs fois par an

9 – 10Quasi certaine — inhérente à la conception retenue

Détection (D)

1 – 2Détection certaine avant que l'effet se produise

3 – 4Détection probable par contrôle en place

5 – 6Détection possible, mais tardive

7 – 8Détection improbable — contrôle indirect seulement

9 – 10Aucune détection avant la défaillance

La détection se note à l'envers des deux autres

1 signifie « on la voit à coup sûr », 10 « on ne la voit pas venir ». C'est la seule échelle contre-intuitive des trois, et l'inverser retourne le classement entier : le tableau devient exactement faux là où il devrait alerter. Si une seule chose doit être répétée en ouverture de séance, c'est celle-là.

La criticité, ou indice de priorité de risque, est leur produit : IPR = G × O × D, entre 1 et 1 000. Elle hiérarchise — elle ne décide pas.

Calculer une criticité

Données

Gravité (G)

1 aucun effet · 10 sécurité ou conformité en jeu

Occurrence (O)

1 improbable · 10 quasi certaine

Détection (D)

Attention, échelle inversée : 1 on la voit à coup sûr · 10 on ne la voit pas

Résultats

Action recommandée — criticité 120, au-delà du seuil de 100.

Criticité (IPR)

G 6 × O 4 × D 5

120

Seuil d'action

100

Seuil de surveillance

40

Formule

IPR = G × O × D          [1 … 1 000]
Action OBLIGATOIRE  si G ≥ 9, quel que soit l'IPR
Action recommandée  si IPR ≥ 100
Surveillance        si IPR ≥ 40

Hypothèses

Échelles de 1 à 10 sur les trois notes, l'usage le plus répandu.
La détection est notée à l'envers des deux autres : 10 signifie qu'on ne voit rien venir.
Les seuils sont d'usage courant : ils doivent être fixés par l'équipe avant la première séance.
Une gravité de 9 ou 10 déclenche une action indépendamment du total.

Hors du domaine de validité

L'IPR hiérarchise, il ne décide pas : 5×5×4 et 10×2×5 valent tous deux 100 sans appeler le même traitement.
Une AMDEC ne remplace pas l'analyse de risque ISO 12100, qui porte sur les phénomènes dangereux pour les personnes.
Les notes sont des jugements d'équipe, pas des mesures : deux groupes cotent rarement à l'identique.
Un seuil déplacé pendant la séance pour éviter une action ne protège plus de rien.

Références — NF EN 60812 (analyse des modes de défaillance et de leurs effets) · pratique industrielle des échelles 1–10 et de l'indice de priorité de risque. · Ce calculateur donne un ordre de grandeur de pré-dimensionnement. Il ne remplace pas une note de calcul ni la validation d'un ingénieur. Méthodologie.

Le tableau rempli, sur les six fonctions de l'AGV

Les modes, causes, effets et cotations ci-dessous sont écrits pour cette page : le dossier publié porte des risques de projet — délais fournisseurs, tolérances de pose — et non des modes de défaillance en service. Les fonctions, elles, sont bien celles du dossier réel.

Le tableau est classé comme il doit l'être : gravité critique d'abord, criticité ensuite. Regardez l'ordre — il n'est pas décroissant en IPR, et c'est tout l'objet de la section suivante.

Fonction	Mode de défaillance	Cause	Effet	Détection actuelle	G	O	D	IPR	Verdict
FP1 — saisir et transporter la palette en sécurité	Perte de la charge en transport	Fourches non verrouillées en position haute	Palette au sol, risque d'écrasement d'un opérateur	Capteur de position de fourche, contrôlé au départ de mission	10	2	3	60	Action obligatoire
FC1 — garantir la sécurité du personnel à proximité	Non-détection d'un piéton dans la zone d'arrêt	Optique du scanner encrassée en environnement poussiéreux	Collision avec un opérateur	Autotest permanent du scanner de catégorie 3	10	3	2	60	Action obligatoire
FC2 — assurer l'autonomie énergétique sur 12 h	Autonomie insuffisante en fin de vie de la batterie	Vieillissement, capacité descendue sous 80 % de la valeur initiale	Interruption de service en fin de poste, robot immobilisé en allée	Aucune mesure d'état de santé, seulement l'état de charge instantané	6	7	8	336	Action
FC3 — s'adapter aux irrégularités du sol	Patinage des roues motrices	Sol souillé — huile, film plastique, humidité	Distance d'arrêt allongée au-delà de la valeur de sécurité	Écart entre odométrie et localisation LiDAR	8	4	5	160	Action
FP2 — naviguer de façon autonome dans les allées	Perte de localisation	Environnement modifié — racks déplacés, allée encombrée	Arrêt du robot en allée, blocage du flux logistique	Le superviseur signale la perte dans les secondes	5	6	2	60	Surveillance
FC4 — communiquer statut et position en temps réel	Perte de la liaison sans fil	Zone d'ombre radio dans une allée de stockage dense	Mission non suivie, robot en mode dégradé	Expiration du délai côté superviseur	4	6	2	48	Surveillance

Ce que ce tableau montre, et qu'un tri par IPR aurait caché

Les 2 premières lignes ont les criticités les plus faibles du tableau — 60 et 60 — et ce sont les seules qui appellent une action obligatoire. Leur gravité est de 10 : perte de charge sur un opérateur, collision avec un piéton. Elles sont rares et bien détectées, donc leur IPR est modeste.

Trié par criticité décroissante, ce tableau aurait mis en tête « autonomie insuffisante en fin de vie de la batterie » à 336 — une interruption de service, gênante mais sans danger — et enterré les deux modes mortels en bas de page.

C'est l'erreur la plus fréquente et la plus coûteuse de la méthode. Elle ne se voit pas : le tableau est rempli, les notes sont justes, le calcul est bon. Seul l'ordre est faux.

Second enseignement, sur la ligne à 336 : sa détection est cotée 8 — aucune mesure d'état de santé de la batterie, seulement l'état de charge instantané. C'est là que le levier est le moins cher. Ajouter un suivi de vieillissement ramène la détection à 2 ou 3 et divise la criticité par trois, sans toucher ni à la conception ni à la fréquence de la panne.

Les cinq erreurs qui rendent une AMDEC inutile

—Trier par criticité décroissante et s'arrêter au seuil

C'est l'erreur démontrée ci-dessus. Une gravité de 9 ou 10 exige une action même à criticité faible : un mode rare et bien détecté reste mortel le jour où il se produit.

—Inverser l'échelle de détection

1 veut dire « on la voit à coup sûr », 10 « on ne voit rien venir ». La coter comme la gravité — fort égale grave — retourne le classement entier, sans qu'aucun total n'ait l'air anormal.

—Coter seul, ou coter à deux

Les notes sont des jugements, pas des mesures. Une AMDEC cotée par le seul concepteur reproduit ses angles morts. Il faut au minimum la conception, la maintenance et l'exploitation autour de la table — ce sont eux qui savent ce qui casse réellement.

—Déplacer le seuil en séance

Quand une ligne dépasse le seuil et que personne ne veut de l'action, la tentation est de remonter le seuil ou de rediscuter la note. Un seuil qu'on ajuste pour éviter une action ne protège plus de rien, et le tableau devient un exercice de conformité interne.

—Ne pas recoter après action

Une AMDEC sans colonne « criticité après action » ne prouve rien. La recotation est ce qui transforme une liste de bonnes intentions en démonstration que le risque a effectivement baissé.

Questions fréquentes

Quelle différence entre AMDEC et analyse de risque ISO 12100 ?

L'AMDEC hiérarchise des modes de défaillance selon leur criticité, pour décider où agir. L'analyse de risque ISO 12100 identifie les phénomènes dangereux pour les personnes et conditionne le marquage CE. Elles se recoupent mais ne répondent pas à la même question, et l'une ne dispense pas de l'autre.

Quel seuil de criticité retenir ?

100 sur une échelle 1–1 000 est l'usage le plus répandu, avec une zone de surveillance à partir de 40. Le chiffre importe moins que le fait de le fixer avant de remplir le tableau, et de ne plus y toucher ensuite.

Combien de modes faut-il lister ?

Au moins un par fonction, ce qui est un plancher. En séance, chaque fonction en produit couramment deux ou trois. Un tableau de six lignes sur une machine complète est un tableau qui n'a pas été fait en équipe.

Faut-il coter avant ou après les protections existantes ?

Après : la note de détection décrit les moyens réellement en place, et l'occurrence la fréquence observée avec la conception actuelle. Coter « à nu » produit des criticités énormes et sans usage.

Sur quel levier agir en priorité ?

Presque toujours la détection, parce que c'est le moins cher : voir venir une défaillance ne demande pas de reprendre la conception. La gravité, elle, ne se réduit que par un changement d'architecture, et l'occurrence par une reprise de conception ou de composant.

RAAI produit-il une AMDEC ?

Il identifie les risques et propose des parades sur chaque dossier de conception — c'est la matière de départ. La cotation, elle, est un jugement d'équipe : elle ne se délègue ni à un modèle ni à une seule personne.

Faites-la produire sur votre propre projet

Décrivez votre besoin en quelques lignes : RAAI produit l'analyse fonctionnelle, l'architecture, la nomenclature chiffrée et le budget. Gratuit, sans compte.

Essayer maintenant →Structurer le cahier des charges