FMECA : Failure Mode, Effects and Criticality Analysis
Module 3 / 5
Analyse de Criticité : Matrice et Diagramme C/N
Visualiser et prioriser les risques sans les limites de l'IPR
La matrice de criticité est la représentation graphique de référence dans les secteurs qui exigent une vision claire et intuitive du risque. Contrairement à l'IPR qui compresse trois dimensions en un seul chiffre, la matrice maintient séparées la probabilité d'occurrence et la sévérité des effets — ce qui évite les compensations trompeuses entre G, O et D.
1. Principe et construction de la matrice de criticité
La matrice de criticité est un tableau à deux dimensions : axe Y = sévérité (Severity Category) et axe X = probabilité d'occurrence (Probability Level). Chaque mode de défaillance est positionné dans une cellule selon ces deux critères, indépendamment de sa détectabilité.
| Sévérité ↑ / Probabilité → | E — Improbable Cm < 10⁻⁶ |
D — Peu probable 10⁻⁶ ≤ Cm < 10⁻³ |
C — Occasionnel 10⁻³ ≤ Cm < 10⁻² |
B — Probable 10⁻² ≤ Cm < 10⁻¹ |
A — Fréquent Cm ≥ 10⁻¹ |
|---|---|---|---|---|---|
| Cat. I — Catastrophique | ⚠️ FAIBLE | 🚨 ÉLEVÉ | 🚨 ÉLEVÉ | 🚨 ÉLEVÉ | 🚨 ÉLEVÉ |
| Cat. II — Critique | ✅ ACCEPTÉ | ⚠️ FAIBLE | 🚨 ÉLEVÉ | 🚨 ÉLEVÉ | 🚨 ÉLEVÉ |
| Cat. III — Marginale | ✅ ACCEPTÉ | ✅ ACCEPTÉ | ⚠️ FAIBLE | ⚠️ FAIBLE | 🚨 ÉLEVÉ |
| Cat. IV — Mineure | ✅ ACCEPTÉ | ✅ ACCEPTÉ | ✅ ACCEPTÉ | ⚠️ FAIBLE | ⚠️ FAIBLE |
Tout mode en zone rouge doit faire l'objet d'une action de conception ou d'une redondance. Non acceptable en production.
Risque à surveiller et à réduire si possible. Des actions préventives sont souhaitables mais non urgentes.
Risque accepté — documenté et revu lors des revues annuelles. Aucune action immédiate requise.
2. Le diagramme Criticality Number (C/N)
Le diagramme C/N est une représentation graphique complémentaire à la matrice. Il positionne chaque mode de défaillance dans un espace à deux axes : axe X = Criticality Number cumulé de l'item et axe Y = Severity Category.
Utilisation du diagramme C/N
Le diagramme C/N permet d'identifier d'un coup d'œil les items les plus critiques du système. Les items en haut à droite (Catégorie I + Cm élevé) sont les priorités absolues.
- Axe X : Σ Cm par item (somme de tous les modes de défaillance de l'item)
- Axe Y : Severity Category la plus défavorable pour cet item
- Ligne de criticité : seuil au-delà duquel une action est obligatoire
- SPOF : les Single Points of Failure sont repérés par un symbole distinct
Exemple de données pour le diagramme
| Item | Sévérité max. | Σ Cm | Zone |
|---|---|---|---|
| Servo-valve HYD-001 | Cat. I | 5,6 × 10⁻⁴ | 🚨 ÉLEVÉ |
| Joint circuit HYD-002 | Cat. II | 8,4 × 10⁻⁴ | ⚠️ FAIBLE |
| Capteur pression HYD-003 | Cat. III | 1,2 × 10⁻⁴ | ✅ ACCEPTÉ |
| Filtre retour HYD-004 | Cat. IV | 3,0 × 10⁻⁵ | ✅ ACCEPTÉ |
3. Avantages de la matrice vs l'IPR
Avantages de la matrice
- Pas de compensation trompeuse : un mode avec Sévérité I reste en zone rouge même si la probabilité est très faible. L'IPR pourrait le classer "acceptable".
- Visualisation immédiate : présentation graphique lisible par tout niveau hiérarchique, y compris la direction.
- Cohérence avec les normes de sécurité : ARP4761, ISO 14971, IEC 61511 utilisent toutes des matrices de risque.
- Pas de subjectivité sur D : la matrice ne demande que Probabilité × Sévérité — la détectabilité est traitée séparément dans les actions.
Limites de la matrice
- Perte de granularité : deux modes dans la même cellule ont le même classement, même si leurs Cm sont très différents.
- Résolution insuffisante : avec seulement 4 catégories de sévérité, la différenciation est moins fine qu'une échelle 1-10.
- Pas de prise en compte de D : un mode indétectable (D=10 en AMDEC) sera traité de la même façon qu'un mode bien détectable.
- Nécessite des données λ : la construction du C/N exige des taux de défaillance — limitant aux phases détaillées.
Bonne pratique : combiner les deux approches
Les pratiques industrielles avancées combinent IPR pour la hiérarchisation détaillée (FMEA / AMDEC) et matrice de criticité pour la communication et la validation avec le client ou la direction. La matrice donne une vue stratégique, l'IPR guide les actions terrain.
4. Exercice : Positionner des modes dans la matrice
Pour chacun des modes de défaillance suivants, déterminez la zone de la matrice (Rouge ÉLEVÉ / Orange FAIBLE / Vert ACCEPTÉ) en vous basant sur la matrice de la section 1.
| # | Mode de défaillance | Sévérité | Probabilité Cm | Zone matrice | Action |
|---|---|---|---|---|---|
| 1 | Rupture aile de dérive (avion) | Cat. I | D — Peu probable (5 × 10⁻⁵) | 🚨 ÉLEVÉ | Redondance structurelle obligatoire |
| 2 | Dérive indicateur carburant | Cat. III | C — Occasionnel (2 × 10⁻³) | ⚠️ FAIBLE | Maintenance préventive + alerte cockpit |
| 3 | Éclairage cabine en panne | Cat. IV | B — Probable (5 × 10⁻²) | ⚠️ FAIBLE | Planifier remplacement dans maintenance A-check |
| 4 | Panne capteur T° moteur (redondant) | Cat. III | E — Improbable (8 × 10⁻⁷) | ✅ ACCEPTÉ | Documenter — revoir à la prochaine révision |
| 5 | Perte totale hydraulique (sans secours) | Cat. I | A — Fréquent (2 × 10⁻¹) | 🚨 ÉLEVÉ | Revoir l'architecture — SPOF inacceptable |
5. La matrice dans les normes sectorielles
ARP4761 — Aéronautique civile
La norme SAE ARP4761 (Guidelines for Conducting the Safety Assessment Process) utilise une matrice Probabilité × Criticité pour classer les conditions de défaillance (Failure Conditions) en niveaux : Catastrophic, Hazardous, Major, Minor, No Safety Effect. La probabilité maximale admissible pour une condition catastrophique est de 10⁻⁹ par heure de vol.
ISO 14971 — Dispositifs médicaux
La norme ISO 14971 (gestion des risques des dispositifs médicaux) impose une matrice de risque personnalisable par le fabricant, croisant la sévérité du dommage patient et la probabilité d'occurrence. Les zones "inacceptables" doivent faire l'objet de mesures de maîtrise des risques avant commercialisation.
Nucléaire — PSA
Dans l'analyse probabiliste de sûreté (PSA) du nucléaire, la matrice de criticité est utilisée pour classer les défaillances selon leur contribution aux événements initiateurs. Les exigences de l'ASN imposent des fréquences d'occurrence maximales très strictes pour les événements de catégorie I.
IEC 61511 — SIS / SIL
Les systèmes instrumentés de sécurité (SIS) utilisent une matrice de risque pour déterminer le Safety Integrity Level (SIL) requis. La position dans la matrice (Conséquence × Fréquence) détermine le SIL 1 à 4, qui fixe les exigences de la FMEDA et de l'architecture redondante.
Ce qu'il faut retenir
- La matrice de criticité positionne chaque mode selon Probabilité × Sévérité, en 3 zones (rouge/orange/vert).
- Avantage clé vs IPR : pas de compensation trompeuse — un mode de Catégorie I reste en zone rouge même avec une probabilité faible.
- Le diagramme C/N (Criticality Number) est la représentation graphique complémentaire qui positionne chaque item selon son Σ Cm et sa sévérité maximale.
- La matrice est exigée par ARP4761 (aéro), ISO 14971 (médical), IEC 61511 (SIS) et les PSA nucléaires.
- Bonne pratique : combiner IPR (détail opérationnel) et matrice (communication et validation).
Quiz Flash — 3 questions rapides
1. Quel est le principal avantage de la matrice de criticité par rapport à l'IPR ?
2. Dans la matrice MIL-STD-1629A, un mode de Catégorie I avec probabilité "D — Peu probable" se trouve en...
3. Quelle norme aéronautique utilise une matrice de criticité pour classer les Failure Conditions ?