MTBF : ce que dit ce chiffre, et ce qu'il ne peut pas dire

Un chiffre, une définition

MTBF signifie mean time between failures, temps moyen entre défaillances. Pour un équipement réparable, c'est le temps de fonctionnement total d'une population divisé par le nombre de pannes observées : une flotte qui a cumulé 400 000 heures de fonctionnement avec 8 pannes affiche un MTBF de 50 000 heures. Pour les articles que l'on jette au lieu de les réparer, la même idée s'appelle MTTF, mean time to failure.

Derrière presque tout MTBF publié se trouve une hypothèse : le taux de défaillance est constant. Les pannes sont alors des événements aléatoires, répartis uniformément dans le temps, et la probabilité qu'une unité fonctionne encore après un temps t vaut e^(−t/MTBF). Tout ce qui suit découle de cette hypothèse — y compris ce que le chiffre ne peut pas dire.

Pourquoi un MTBF élevé n'est pas une longue vie

Un disque dur vendu avec un MTBF de 1,5 million d'heures ne dure pas 171 ans : on le remplace en général au bout de cinq. Les deux faits sont vrais. Le MTBF dit que, dans une grande population en vie utile, environ 0,6 % des disques tombent en panne par année de fonctionnement continu (8 760 heures divisées par 1,5 million). La durée de vie dit quand l'usure commence à dominer. Ce sont deux mesures différentes.

Les fiabilistes dessinent cela en forme de baignoire. En début de vie, les pannes dues aux défauts de fabrication sont fréquentes, puis elles s'estompent ; le déverminage existe pour les éliminer avant livraison. Pendant la vie utile, le taux de défaillance est faible et à peu près constant : c'est cette partie que décrit le MTBF. Puis l'usure commence, et le taux remonte. En électronique embarquée, l'usure a des noms : l'endurance de la mémoire flash, les batteries et les supercondensateurs, les condensateurs électrolytiques, les ventilateurs, le nombre de connexions des connecteurs. Aucun n'entre dans le MTBF.

Les chances d'une unité donnée

Appliquez la formule à t = MTBF : e^(−1) ≈ 0,37. Même avec un modèle parfait, seules 37 % des unités fonctionnent encore quand elles atteignent leur MTBF ; 63 % sont déjà tombées en panne. Et le modèle à taux constant n'a pas de mémoire : une unité qui a fonctionné 10 000 heures sans panne n'en « doit » pas une, et n'a pas plus de chances de tomber en panne dans l'heure qui vient qu'une unité neuve. Le chiffre donne des probabilités, jamais une date.

C'est le cœur du sujet. La panne d'une unité est un événement aléatoire : ni le MTBF ni aucune méthode de prévision ne peut dire quand elle surviendra. Ce qui se prévoit, avec une précision utile, c'est le nombre de pannes qu'une grande flotte connaîtra sur une période. Un chiffre de fiabilité est un outil de flotte.

D'où vient le chiffre

Un MTBF publié est soit prévu à partir de la conception, soit observé en service. Ce sont deux natures de preuve différentes.

• La prévision : chaque composant reçoit un taux de défaillance tiré d'un recueil, corrigé selon sa qualité, sa contrainte électrique, sa température et son environnement ; les taux s'additionnent, comme si la panne de n'importe quel composant arrêtait l'équipement. Les recueils courants sont le MIL-HDBK-217F Notice 2, dont les données datent de 1995 et sont en général pessimistes pour les composants actuels, mais qui reste l'étalon commun en aéronautique ; le Telcordia SR-332, issu des télécommunications ; et le guide français FIDES, qui modélise tout le profil de vie, les cycles thermiques et la qualité du procédé de fabrication.
• L'observation : les heures de fonctionnement et les pannes d'une flotte en service, ou d'un produit semblable. C'est le chiffre le plus crédible une fois la flotte nombreuse, et le moins utile pour une conception nouvelle.
• Les essais accélérés, comme le HALT, poussent une conception à ses limites pour en trouver les points faibles. Ils améliorent la fiabilité bien plus qu'ils ne la mesurent.

Les chiffres observés ont leur propre piège : peu de pannes, c'est une grande incertitude. Un produit qui a cumulé 50 000 heures de fonctionnement sans une seule panne n'a pas démontré un MTBF infini. À 90 % de confiance, il n'a démontré qu'un MTBF supérieur à environ 21 700 heures (50 000 divisé par 2,3).

Cinq hypothèses qui font bouger le résultat

1. La méthode et son édition. La même carte donne des résultats différents selon le MIL-HDBK-217, le Telcordia ou FIDES. Comparez ce qui est comparable.
2. L'environnement. Les recueils appliquent des facteurs d'environnement : pour un circuit intégré, le MIL-HDBK-217 retient un facteur dix fois plus élevé dans une soute non habitée d'avion que dans un laboratoire climatisé.
3. La température. Le taux de défaillance des semi-conducteurs croît fortement avec la température : la température ambiante retenue, et l'échauffement supposé à l'intérieur du boîtier, pèsent lourd dans le résultat.
4. Les heures comptées. Un MTBF peut s'exprimer en heures de fonctionnement, ou en heures calendaires sur un profil annuel qui inclut le temps au sol et le stockage. Pour un équipement qui fonctionne quelques centaines ou quelques milliers d'heures par an, le second chiffre peut valoir plusieurs fois le premier — même équipement, mêmes données.
5. Ce qui compte comme une panne. Les prévisions ne comptent en général que les pannes matérielles. Les défauts logiciels, les dommages de manipulation, les erreurs d'installation et les unités déposées mais trouvées en bon état restent hors du chiffre.

MTBF, MTBUR, MTTR et disponibilité

• Le MTTF, temps moyen jusqu'à la panne, s'applique aux articles qui ne se réparent pas.
• Le MTBUR, temps moyen entre déposes non programmées, est ce que voit réellement un exploitant : il compte chaque unité déposée de l'avion, y compris celles que l'atelier trouve en bon état. Il est toujours inférieur au MTBF.
• Le MTTR, temps moyen de réparation ou de remise en service, mesure combien de temps une panne prive de la fonction — diagnostic, rechange, échange.
• La disponibilité combine les deux : MTBF / (MTBF + MTTR). Avec un MTBF de 20 000 heures et 48 heures de remise en service, la disponibilité est de 99,76 %. Une rechange en stock raccourcit le MTTR bien plus économiquement qu'un meilleur MTBF.

À quoi sert le MTBF

Employé pour ce qu'il est, le chiffre est précieux. Il compare deux conceptions calculées avec des hypothèses identiques. Sa décomposition détaillée montre quels composants dominent le taux de défaillance, ce qui indique au concepteur où une réduction de contrainte ou un meilleur refroidissement paie. Et il dimensionne les rechanges et le soutien.

Prenons 20 unités qui fonctionnent chacune 600 heures par an : 12 000 heures de flotte. Avec un MTBF de 20 000 heures, la flotte devrait connaître 0,6 panne par an en moyenne. La probabilité de n'avoir aucune panne dans l'année est de 55 %, d'en avoir exactement une de 33 %, d'en avoir deux ou plus de 12 % : une rechange couvre près de neuf années sur dix. Cette prévision porte sur le nombre, jamais sur l'unité ni sur le jour.

Ce qu'il n'est pas

• Pas une garantie. Une garantie est un engagement contractuel sur chaque unité ; le MTBF est une estimation statistique sur une population.
• Pas une durée de vie. Une unité au MTBF élevé peut s'user tôt, et les éléments d'usure ont leurs propres intervalles de remplacement.
• Pas une prévision pour une unité. Rien ne peut dire quand une unité donnée tombera en panne.
• Pas comparable d'un fournisseur à l'autre sans ses hypothèses.

Les questions à poser avec un MTBF

1. Prévu ou observé ? S'il est observé : combien d'unités, combien d'heures, combien de pannes, à quel niveau de confiance ?
2. S'il est prévu : quelle méthode et quelle édition, quelle catégorie d'environnement, quelle température ambiante et quel échauffement interne ?
3. Heures de fonctionnement, ou heures calendaires sur un profil ? Quel profil ?
4. Qu'est-ce qui compte comme une panne : le matériel seul ? Les déposes sans défaut confirmé sont-elles exclues ?
5. Quels éléments d'usure sont laissés de côté, et quels sont leurs intervalles de remplacement ?

Pour aller plus loin, le livre blanc de Wendy Torell et Victor Avelar, « Mean Time Between Failure ou temps moyen de bon fonctionnement : définitions et normes » (APC, aujourd'hui Schneider Electric, livre blanc n° 78), reste l'une des introductions les plus claires.