Pourquoi la périodicité est une mauvaise question
« Tous les combien faut-il faire la visite ? » est la question qui arrive en premier dans presque toutes les réunions. Elle est prématurée, parce qu’elle présuppose trois choses : que la visite est la bonne action, qu’elle détecte quelque chose, et que ce quelque chose arrive avec l’âge.
La MBF remet ces trois présupposés en question dans l’ordre. Elle commence par établir ce que le système doit accomplir, dans quelles conditions et avec quel niveau de performance. Cette description paraît évidente tant qu’on ne l’a pas écrite. Dès qu’on l’écrit, les désaccords apparaissent, et ce sont eux qui ont de la valeur : si l’exploitation et la maintenance ne donnent pas le même débit minimal acceptable, elles ne parlent pas du même équipement.
La défaillance fonctionnelle
Une machine qui tourne peut déjà être en panne. C’est le point le plus contre-intuitif de la démarche, et le plus utile.
Si une pompe doit transférer 40 m³ par heure et qu’elle n’en transfère plus que 32, elle fonctionne mais elle ne remplit plus sa fonction. Si un échangeur maintient la température de consigne au prix d’un débit de vapeur deux fois supérieur, la fonction est tenue mais la performance ne l’est plus. Dans les deux cas il y a défaillance fonctionnelle, et dans les deux cas la GMAO ne contient aucun bon de travail, parce que personne n’a déclaré d’arrêt.
Conséquence pratique : un historique de pannes décrit les arrêts, pas les défaillances. Une analyse qui ne s’appuie que sur l’historique rate systématiquement les dégradations lentes, qui sont souvent celles qui coûtent le plus cher en consommation, en qualité et en reprises.
Les dérives lentes ne remontent pas par la maintenance. Elles remontent par la production, sous forme de plainte diffuse : « ça tire moins qu’avant », « il faut forcer pour tenir la cadence ». Le réflexe est de répondre que la machine n’est pas en panne. C’est exact, et c’est passer à côté du sujet.
Les sept questions de la démarche
La norme SAE JA1011 ne décrit pas une méthode unique : elle fixe les critères qu’un processus doit respecter pour pouvoir être appelé RCM. Ces critères prennent la forme de sept questions, à traiter dans cet ordre et sans en sauter.
- Quelles sont les fonctions du système et les niveaux de performance attendus, dans son contexte d’exploitation actuel ?
- De quelles façons peut-il cesser de remplir ces fonctions, c’est-à-dire quelles sont les défaillances fonctionnelles ?
- Qu’est-ce qui cause chacune de ces défaillances fonctionnelles, c’est-à-dire quels sont les modes de défaillance ?
- Que se passe-t-il lorsque chaque mode de défaillance survient, concrètement, du premier signe jusqu’à la remise en service ?
- En quoi cela a-t-il de l’importance : quelles conséquences, sur quel registre, et visibles par qui ?
- Que faire pour prévoir ou prévenir chaque mode de défaillance, et à quel intervalle ?
- Que faire si aucune tâche proactive n’est satisfaisante ?
La septième question est celle que les plans de maintenance classiques n’abordent jamais. Elle oblige à écrire noir sur blanc qu’il n’y a rien à faire, et pourquoi. C’est une décision, pas un oubli, et elle se documente comme telle.
L’âge explique moins de pannes qu’on ne le croit
Le préventif systématique repose sur une hypothèse : il existe un âge à partir duquel la probabilité de défaillance augmente nettement, donc remplacer avant cet âge évite la panne. Cette hypothèse est vraie pour certains modes de défaillance, ceux dominés par l’usure, la fatigue ou la corrosion. Elle est fausse pour beaucoup d’autres, et c’est le résultat qui a fondé la démarche RCM.
Les travaux de Nowlan et Heap, publiés en 1978 à partir de données de United Airlines et commandés par le département de la Défense américain, ont décrit six profils de probabilité conditionnelle de défaillance. Trois seulement présentent une zone d’usure exploitable par une limite d’âge. Les trois autres montrent une probabilité constante, ou décroissante, ce dernier cas correspondant aux défaillances de jeunesse qui suivent une intervention.
« 89 % des défaillances sont aléatoires » n’est pas une loi
Vous rencontrerez ce chiffre, ou son complément à 11 %, présenté comme une donnée universelle. Trois réserves s’imposent avant de l’utiliser pour décider quoi que ce soit.
- Les sources ne s’accordent pas. Selon la façon de regrouper les profils, la part des modes de défaillance liés à l’âge est donnée autour de 6 % ou autour de 11 %.
- Les données brutes n’ont jamais été publiées avec le rapport, ce qui rend la répartition exacte invérifiable. Des praticiens de la fiabilité contestent ouvertement sa précision.
- Il s’agit de matériel aéronautique des années 1960, suivi dans un contexte de maintenance aérienne. Rien ne permet de le transposer à un parc de pompes, de convoyeurs ou de fours.
Ce qui reste solide, et suffit pour décider : une périodicité de remplacement doit être justifiée par un comportement d’usure constaté sur l’équipement considéré, et non posée par défaut. La charge de la preuve est du côté de celui qui propose la limite d’âge, pas de celui qui la met en doute.
La conséquence pratique est directe. Dans un plan préventif ancien, une part des remplacements systématiques n’évite aucune défaillance, et certains en créent en réintroduisant de la mortalité infantile. Démonter pour vérifier n’est pas une opération neutre : on remet en jeu un montage qui tenait.
La question à poser sur chaque remplacement systématique est donc toujours la même : qu’est-ce qui nous fait penser que cette pièce se dégrade avec l’âge, et où est-ce écrit ? Quand la réponse est « c’est le constructeur qui le dit », la question suivante est de savoir pour quel contexte d’exploitation il l’a dit.
Quelle tâche pour quel mode de défaillance
Le choix de la tâche ne dépend pas de l’équipement, mais du mode de défaillance considéré. Un même réducteur peut relever de trois politiques différentes selon qu’on parle de son roulement, de son huile ou de son accouplement.
| Type de tâche | Condition pour qu’elle soit applicable | Ce qui la rend inutile |
|---|---|---|
| Surveillance conditionnelle vibrations, thermographie, analyse d’huile, mesures de procédé |
Il existe un signe détectable avant la perte de fonction, et le délai entre ce signe et la panne laisse le temps d’agir. | Un relevé sans seuil d’acceptation ni conduite à tenir. On accumule des mesures et on décide toujours au ressenti. |
| Remplacement ou rénovation programmée | Il existe un âge identifiable au-delà duquel la probabilité de défaillance augmente, et la plupart des pièces atteignent cet âge. | Un mode de défaillance à probabilité constante. On dépense sans réduire le risque, et on réintroduit un risque de jeunesse. |
| Recherche de panne cachée essai périodique d’une fonction de secours ou de protection |
La fonction est cachée : sa perte ne se manifeste pas en exploitation normale. | Un essai qui ne reproduit pas les conditions réelles de sollicitation. Il prouve que l’organe bouge, pas qu’il remplirait sa fonction. |
| Modification de conception | Aucune tâche n’est satisfaisante et les conséquences ne sont pas acceptables. Pour une fonction cachée dont la défaillance multiple touche la sécurité, la modification devient obligatoire. | Rien. C’est la seule issue dans ce cas, et la repousser revient à accepter le risque sans l’avoir écrit. |
| Correctif accepté | Les conséquences sont supportables et aucune tâche proactive n’est rentable. | Son usage par défaut, faute d’avoir analysé. Accepter un correctif est une décision argumentée, pas une absence de décision. |
La sécurité et les obligations réglementaires applicables restent des bornes de l’arbitrage. Elles ne s’échangent pas contre un gain économique, et une analyse qui propose ce troc n’est pas une analyse MBF.
L’intervalle d’inspection se déduit, il ne se choisit pas
Pour une tâche conditionnelle, l’intervalle n’est pas une préférence d’organisation. Il dérive d’une grandeur physique : la durée entre le moment où la dégradation devient détectable et le moment où la fonction est perdue. C’est l’intervalle P-F, pour potential failure et functional failure.
Inspecter au plus tous les demi-intervalles P-F
intervalle d’inspection ≤ intervalle P-F ÷ 2
La division par deux ne vient pas d’une marge de sécurité arbitraire. Elle garantit qu’au moins une inspection, et en pratique presque toujours deux, tombe dans la fenêtre pendant laquelle la dégradation est détectable. Inspecter exactement à l’intervalle P-F laisse une chance non négligeable de passer juste après l’apparition du signe et juste avant la panne.
Exemple pédagogique, pas un résultat de mission : si la signature vibratoire d’un roulement se dégrade de façon détectable environ huit semaines avant la perte de fonction, le relevé doit intervenir au plus toutes les quatre semaines. Un relevé trimestriel sur ce mode de défaillance ne détecte rien de façon fiable, et le fait qu’il n’ait jamais rien détecté sera interprété comme une bonne nouvelle.
Ce raisonnement a une contrepartie exigeante : il faut aussi que le délai soit suffisant pour agir. Détecter une dégradation six jours avant la panne n’a d’intérêt que si la pièce est en stock et le créneau d’arrêt obtenable en six jours. Si le délai d’approvisionnement est de trois semaines, la surveillance ne sert pas à prévenir la panne, elle sert à l’annoncer. C’est une information utile, mais ce n’est pas la même décision.
Les fonctions cachées
Une fonction cachée est une fonction dont la perte ne se voit pas en exploitation normale. La pompe de secours qui ne démarrerait pas, la soupape qui ne s’ouvrirait pas au seuil, le capteur de niveau haut qui ne basculerait pas. Tant qu’on n’en a pas besoin, rien ne signale la défaillance.
Ces fonctions n’ont pas de conséquence propre. Leur conséquence est une défaillance multiple : la fonction principale tombe et la protection n’opère pas. C’est cette combinaison qu’il faut évaluer, et elle est presque toujours d’un ordre de gravité supérieur à tout ce qui figure par ailleurs dans l’analyse.
L’argument qui revient le plus souvent, « elle a fonctionné la dernière fois qu’on en a eu besoin », ne dit rien sur son état actuel. Il dit seulement qu’elle n’était pas défaillante à cette date. Pour une fonction cachée, la seule preuve d’état est un essai qui reproduit la sollicitation réelle, à un intervalle fixé en fonction de l’indisponibilité que l’on accepte sur la protection.
Une tâche que le terrain peut exécuter
Une analyse peut être juste et produire des tâches inapplicables. Une tâche exécutable comporte cinq éléments, et il en manque presque toujours au moins un.
- L’objet contrôlé, désigné sans ambiguïté : quel organe, sur quel équipement, repéré comment.
- La méthode, assez précise pour que deux techniciens différents obtiennent la même mesure.
- La fréquence ou le déclencheur, en temps calendaire, en heures de fonctionnement, en cycles ou sur événement.
- Le seuil d’acceptation, chiffré quand c’est possible, décrit quand ce n’est pas possible.
- La conduite à tenir selon le résultat, y compris le cas où la mesure est hors plage et où la production refuse l’arrêt.
« Vérifier le moteur » ne contient aucun des cinq. « Relever le niveau vibratoire global sur palier avant, comparer au relevé précédent, alerter au-delà de 4,5 mm/s efficace et programmer un contrôle approfondi au-delà de 7,1 mm/s » en contient quatre, et le cinquième se complète en une phrase.
Les hypothèses de chaque tâche se conservent : mode de défaillance visé, possibilité de détection, délai d’intervention nécessaire, ressources supposées. Le jour où l’exploitation change de cadence ou de produit, ces hypothèses se relisent au lieu d’être redécouvertes.
Pourquoi une analyse MBF finit dans un tiroir
Quand une démarche MBF échoue, c’est rarement sur la technique. Quatre causes reviennent.
- Le périmètre trop large au départ. Analyser un parc entier mobilise des mois d’ateliers, et les premiers résultats arrivent trop tard pour que quiconque s’en souvienne. Un périmètre pilote critique et bien documenté produit des décisions en quelques semaines.
- L’analyse sans le terrain. Les modes de défaillance réels sont connus des personnes qui réparent. Une analyse menée entre méthodes et bureau d’études produit des modes plausibles, pas les modes observés.
- Le plan plus lourd qu’avant. Si l’analyse n’a rien supprimé, elle a mal été menée. Une MBF correcte retire des tâches : celles qui ne visent aucun mode de défaillance identifié, et celles qui ne détecteraient rien à leur fréquence actuelle.
- L’absence de révision. Une analyse est datée. Elle vaut pour un contexte d’exploitation. Sans mécanisme de relecture, elle devient en trois ans un document historique qu’on applique sans le croire.
Repères méthodologiques : la norme SAE JA1011 pour les critères de la démarche, et le guide RCM de la NASA pour un exemple détaillé de mise en œuvre. Pour la distinction avec l’AMDEC : MBF et AMDEC, ce qui les sépare vraiment.
La fiabilité appliquée au four rotatif
L’étude du four rotatif est le document qui montre le raisonnement en entier, sur un cas réel : fonctions, modes de défaillance, calculs, et les décisions qui en découlent. Elle a été réalisée dans le cadre d’un mémoire d’ingénieur, ce qui explique son niveau de détail inhabituel pour un document industriel.
C’est aussi l’occasion de voir ce à quoi ressemble une hypothèse assumée : chaque valeur retenue y est posée avec sa source et son incertitude, et les conclusions sont bornées par ces incertitudes.
Lire l’étude complète, avec les formules, les résultats et les photographies de l’installation : le cas du four rotatif.
Questions fréquentes
La MBF est-elle réservée aux grands groupes ?
Non. Ce qui détermine le niveau de détail utile, c’est la criticité de l’équipement et l’enjeu de la décision, pas la taille de l’entreprise. Un périmètre pilote de quelques équipements critiques est accessible à un site de cinquante personnes, et donne des décisions applicables. Ce qui ne l’est pas, c’est l’analyse exhaustive d’un parc entier.
MBF et AMDEC sont-elles la même chose ?
Non. L’AMDEC analyse les modes de défaillance, leurs effets et leur criticité ; elle produit une hiérarchie des risques. La MBF utilise ce type d’analyse comme une étape, puis va jusqu’à la sélection et la justification des politiques de maintenance, y compris la décision de ne rien faire. Une AMDEC bien menée ne dit pas encore quelle tâche appliquer.
Peut-on faire de la MBF sans historique de pannes fiable ?
Oui, et c’est même fréquent. La démarche raisonne sur les modes de défaillance plausibles et leurs conséquences, pas sur des fréquences observées. L’historique sert à hiérarchiser et à vérifier, il n’est pas le point de départ. En revanche, l’absence d’historique interdit de prétendre calculer une périodicité optimale : on posera une hypothèse, et on la révisera.
Faut-il des capteurs et de la maintenance prédictive pour appliquer la MBF ?
Non. La MBF décide quelles tâches sont pertinentes ; elle conclut parfois à une surveillance conditionnelle, parfois à un essai, parfois à un correctif accepté. Instrumenter d’abord et chercher ensuite ce qu’on va surveiller inverse l’ordre, et produit des données dont personne ne sait quoi faire.
Combien de temps prend l’analyse d’un équipement ?
Pour un équipement critique et bien connu des équipes, l’analyse se mène en quelques séances de travail. L’essentiel du temps ne passe pas dans la méthode mais dans l’établissement du contexte d’exploitation et des niveaux de performance attendus, parce que c’est là que les désaccords se révèlent. Les équipements comparables qui suivent vont nettement plus vite.
Que devient le plan préventif existant ?
Il sert de point de départ et de contrôle. Chaque tâche en place est rapprochée du mode de défaillance qu’elle est censée traiter. Celles qui n’en ont aucun, ou qui ne détecteraient rien à leur fréquence actuelle, sont proposées à la suppression avec la justification écrite. C’est en général ce qui libère le temps nécessaire pour exécuter les tâches qui restent.
Contenu éditorial de Caméléon Conseils. Les exemples de calcul sont pédagogiques et signalés comme tels ; ils ne rendent pas compte d’une mission. Découvrir le parcours du dirigeant.