Analyse de criticité :
par où commencer, vraiment.

Un plan de maintenance conditionnelle sans analyse de criticité préalable est un plan qui dispersera ses efforts. On câble des capteurs sur des machines secondaires parce qu'elles étaient accessibles, on laisse sans surveillance des équipements dont la panne coûterait une semaine de production. Le budget est consommé sans que le risque global n'ait réellement bougé.

La norme ISO 55001:2014 (asset management systems — requirements, révisée 2024) exige que l'organisation classe ses actifs selon leur criticité, documente ses critères de classification, et utilise cette criticité comme input des décisions d'investissement, de maintenance et de renouvellement. La guidance ISO 55002 précise que la nature et la criticité des actifs conditionnent le périmètre du système de management. L'auditeur attend la preuve que la criticité est utilisée, pas seulement calculée.

La norme ISO 17359:2018 (condition monitoring and diagnostics of machines — general guidelines) formalise la logique descendante : identifier les machines critiques, caractériser leurs modes de défaillance, puis choisir la technique de surveillance adaptée. L'ordre est non négociable. Un capteur posé sur une machine dont la criticité n'a pas été établie est un capteur qui produit du bruit, pas de l'information.

Un détail important trop souvent escamoté : il existe quatre niveaux de criticité qu'un fiabiliste rigoureux ne confond pas. La criticité fonctionnelle (que se passe-t-il si cette fonction disparaît ?) précède la criticité équipement (que se passe-t-il si cette machine s'arrête ?), elle-même distincte de la criticité composant (ce roulement précis) et de la criticité opérationnelle (ce scénario : arrêt été vs hiver, mode dégradé vs nominal). La logique RCM impose de raisonner fonction d'abord. Sauter cette étape débouche mécaniquement sur des matrices "équipements" déconnectées du processus réel.

La littérature professionnelle mélange souvent des outils qui ne répondent pas aux mêmes questions. Les distinguer proprement évite les confusions d'ateliers.

FMEA / FMECA — méthode née en 1949 dans l'armée américaine (MIL-P-1629), formalisée par le MIL-STD-1629A du 24 novembre 1980 (annulée sans remplaçant en 1998 mais toujours massivement utilisée en spatial et défense), puis reprise par la CEI via IEC 60812. Le "C" de FMECA marque la différence : la FMEA s'arrête à l'analyse qualitative des effets ; la FMECA ajoute une analyse de criticité (Criticality Analysis) explicite qui priorise les modes de défaillance en combinant sévérité × probabilité d'occurrence.

RCM — Reliability Centered Maintenance — développée à la fin des années 1960 dans l'aviation civile (United Airlines), formalisée dans le rapport Nowlan & Heap 1978 sponsorisé par le DoD. Le rapport a démontré que la majorité des modes de défaillance ne suivent pas une courbe en baignoire classique — six patterns (A à F) y sont décrits —, rendant la maintenance systématique calendaire souvent contre-productive. Standardisée par SAE JA1011 (2024 pour la dernière révision) qui définit les critères qu'un processus doit remplir pour s'appeler RCM, et guidée par SAE JA1012. Sept questions canoniques à poser dans l'ordre, quatre catégories de conséquences (cachée / sécurité-environnement / opérationnelle / non-opérationnelle) qui orientent le choix de tâche. La criticité en RCM n'est pas un score unique, c'est une catégorisation qui conditionne directement la stratégie.

ABC / Pareto — méthode simple et souvent première étape : 20 % des équipements concentrent généralement 80 % des arrêts ou des coûts. Cotation uniaxiale en coût de panne × fréquence, ou heures d'arrêt, ou nombre d'interventions correctives sur trois ans. Limites : approche rétrospective (un équipement critique qui n'a pas encore failli n'apparaît pas), elle ignore la sévérité réelle, et elle ne distingue pas criticité sécurité vs production vs qualité. Bonne pratique : l'utiliser comme première maille pour isoler le top 20 %, puis dérouler une analyse multicritère sur ces 20 % seulement.

Matrice risque-criticité 5×5 — issue du monde HSE / HAZOP / LOPA. Deux axes : vraisemblance (1 rare à 5 fréquent) et conséquence (1 mineur à 5 catastrophique). Produit sur [1 ; 25], segmenté en 3 ou 4 zones couleur définissant l'acceptabilité. Utile pour un consensus rapide en atelier pluridisciplinaire, en absence de données historiques, ou en complément d'un HAZOP. Pièges documentés : subjectivité et ancrage (le premier avis influence fortement), compression vers le centre (les évaluateurs évitent les extrêmes), asymétrie perçue (HSE surcote, production sous-cote). D'où l'intérêt de matrices à axes multiples de conséquence qui séparent sécurité / environnement / production.

AHP — Analytic Hierarchy Process (Saaty 1980) — méthode de décomposition hiérarchique d'un problème de décision, avec comparaisons par paires des critères. Particulièrement pertinente pour définir les poids relatifs des axes de criticité propres à un site, par consensus d'experts et avec une matrice de cohérence (Consistency Ratio < 0,10) qui détecte les jugements contradictoires. Variantes : ANP (quand les critères sont interdépendants), TOPSIS (classement par distance à l'idéal), Fuzzy AHP (incertitude linguistique). Temps d'atelier conséquent, mais pondération défendable et traçable.

Indice de Criticité (CI) pondéré multi-axes — approche la plus répandue en industrie de process, issue des pratiques US Navy et UK MoD, reprise par la plupart des éditeurs GMAO. Formule générique : CI = Σ (w_i × x_i) avec Σ w_i = 1, où x_i est la note d'un axe (échelle 1-5 ou 1-10) et w_i le poids relatif. Les seuils courants : classe A si CI ≥ 3,5/5, classe B entre 2,5 et 3,5, classe C en dessous. Ces seuils sont des pratiques industrielles, pas une norme.

La courbe P-F (Potential failure → Functional failure), issue du rapport Nowlan & Heap 1978 et popularisée par Moubray (RCM II, 1997), décrit la trajectoire de dégradation d'un composant entre le moment où un défaut potentiel devient détectable (point P) et le moment où la défaillance fonctionnelle se produit (point F). L'intervalle P-F est le temps disponible pour agir.

Règle de base : l'intervalle de contrôle doit être inférieur à la moitié de l'intervalle P-F. Si un défaut de roulement devient détectable en analyse d'enveloppe 60 jours avant la rupture, une ronde vibratoire mensuelle est le minimum pour qu'au moins deux points de mesure tombent dans la fenêtre de préavis. Un intervalle de contrôle plus large, c'est accepter mathématiquement de rater la détection.

Ordres de grandeur typiques observés en pratique — à prendre comme fourchettes, pas comme valeurs cardinales : défaut de roulement détecté en enveloppe ou HFRT, 30 à 90 jours ; dégradation d'alignement, plusieurs mois ; dégradation d'isolation stator (décharges partielles, tan δ), souvent supérieure à un an ; cavitation pompe, quelques semaines à plusieurs mois selon la sévérité. Ces plages varient fortement avec les conditions d'exploitation et la sévérité initiale du défaut.

Implication pour l'instrumentation : plus le P-F est court, plus l'instrumentation doit être continue. Un mode de défaillance à P-F court (quelques heures à quelques jours) est incompatible avec une ronde mensuelle — il exige un monitoring online fixe avec alarme temps réel. À l'inverse, un P-F long autorise un walk-around trimestriel ou une mesure annuelle selon la classe de criticité.

Le rapport Nowlan & Heap a également démontré que la majorité des modes de défaillance ne suivent pas une courbe en baignoire. Sur les six patterns identifiés, seuls A et B présentent une usure marquée en fin de vie. Les patterns C, D, E et F (qui concernent la majorité des équipements électroniques et complexes) présentent soit une probabilité de défaillance stable dans le temps, soit une mortalité infantile suivie d'un plateau. Conséquence directe : une maintenance préventive calendaire (remplacement à échéance fixe) est souvent contre-productive. Elle introduit des erreurs de remontage qui créent de la mortalité infantile sans supprimer le risque intrinsèque.