Périodicité de contrôle d'un équipement : ce que la réglementation fixe, ce qu'elle vous laisse

La question arrive toujours dans le même ordre. On demande d'abord « tous les combien faut-il contrôler cet équipement », on obtient un chiffre, et ce chiffre devient une règle de maison que plus personne ne rediscute. Dix ans plus tard, la même périodicité s'applique à un équipement dont le procédé, le produit et l'état ont changé trois fois.

Le problème n'est pas le chiffre. Le problème est que trois familles de textes répondent à cette question sans jamais se recouvrir, et qu'aucune ne répond seule.

Trois familles de textes, trois logiques

La première famille pose des plafonds calendaires. C'est la réglementation des équipements sous pression, celle des réservoirs de stockage, celle des appareils de levage. Elle dit : pas au-delà de tant.

La deuxième calcule un intervalle à partir de la dégradation mesurée. Ce sont les guides professionnels approuvés et les codes d'inspection. Elle dit : voici comment déduire une échéance de ce que vous avez mesuré.

La troisième exige une inspection périodique sans jamais en fixer la fréquence. Ce sont les référentiels d'hygiène et de qualité, en agroalimentaire comme en pharmaceutique. Elle dit : vous devez contrôler à intervalles prédéterminés, et c'est vous qui prédéterminez.

Un plan de contrôle qui ne mobilise que la première famille est un plan calendaire qui ne regarde pas l'équipement. Un plan qui ne mobilise que la deuxième passe à côté de risques que l'épaisseur ne mesure pas. Un plan qui ne mobilise que la troisième n'a pas de méthode. La démarche d'ensemble est décrite dans le plan de maintenance préventive fondé sur le risque.

Ce que la réglementation française fixe réellement

Les équipements sous pression

L'arrêté du 20 novembre 2017 relatif au suivi en service pose deux échéances distinctes.

L'inspection périodique, article 15. Deux ans pour les générateurs de vapeur et les appareils à couvercle amovible à fermeture rapide. Quatre ans pour les autres équipements hors tuyauteries, avec une première inspection ramenée à trois ans après la mise en service ou une modification notable. Un an pour les bouteilles de plongée et les récipients mobiles non métalliques.

La requalification périodique, article 18. Dix ans pour les récipients, les tuyauteries et les générateurs de vapeur. Mais six ans si le fluide est toxique au sens de la classification, ou corrosif vis-à-vis des parois. Et trois ans pour une liste nominative de neuf fluides particulièrement agressifs, parmi lesquels le fluor, le fluorure d'hydrogène, le phosgène et le sulfure d'hydrogène, lorsque l'équipement ne peut être garanti exempt d'impuretés corrosives.

C'est le seul endroit de la réglementation française où la nature du fluide fait varier directement la périodicité. Partout ailleurs, elle passe par le jugement de l'exploitant.

L'article 13 ouvre une porte. Un plan d'inspection établi selon un guide professionnel approuvé permet de porter les intervalles à six et douze ans, sept et quatorze pour les unités à catalyseurs. Ces guides sont listés en annexe 2 de l'arrêté : les documents techniques de l'UFIP et de l'UIC, les guides EDF, ceux de Storengy, ceux de Copacel pour la papeterie. Le plan est rédigé sous la responsabilité de l'exploitant et approuvé par un organisme habilité dans les dix-huit mois suivant la mise en service.

Le cas des tuyauteries, où il n'y a rien

L'article 15 renvoie les tuyauteries à un programme de contrôle établi par l'exploitant dans l'année qui suit leur mise en service. Nature des contrôles et période maximale y sont définies par l'exploitant lui-même.

Autrement dit, sur le composant le plus étendu, le plus difficile à repérer et le plus souvent oublié d'une installation, la réglementation ne donne aucun chiffre. Les seuls repères disponibles sont professionnels : le guide DT 96 propose soixante mois pour la classe 1, cent huit pour la classe 2, cent quarante-quatre pour la classe 3, et un traitement au cas par cas pour la classe 4, en l'absence d'analyse de risque formalisée. Ces classes sont définies par les conséquences d'une fuite, pas par l'état de la tuyauterie.

Les réservoirs de stockage aériens

L'arrêté du 3 octobre 2010, article 29, impose un plan d'inspection pour tout réservoir de liquide inflammable de plus de dix mètres cubes. Visites de routine à un an au plus. Inspections externes détaillées au moins tous les cinq ans, avec contrôle d'épaisseur, verticalité et déformations. Inspections hors exploitation au moins tous les dix ans pour les réservoirs de plus de cent mètres cubes.

Le texte ajoute deux précisions qui valent pour tout le reste de cet article : le report éventuel ne peut excéder dix ans et n'est en aucun cas renouvelable, et les délais se réduisent si une inspection intermédiaire révèle une anomalie.

Un contre-exemple utile : le levage

Les appareils de levage relèvent d'une logique inverse. L'arrêté du 1er mars 2004 fixe une vérification générale périodique tous les douze mois, six mois pour certains appareils, trois mois pour ceux mus par la force humaine qui déplacent en élévation un poste de travail. Purement calendaire, indépendante de l'état.

C'est le seul domaine où le calendrier suffit. Il est utile de savoir que c'est l'exception, pas la règle.

Comment se calcule un intervalle quand on a des mesures

Le guide DT 94, consacré aux réservoirs aériens et approuvé au titre de la réglementation, donne la chaîne de calcul la plus complète disponible en français.

La durée de vie résiduelle vaut la marge restante divisée par la vitesse de dégradation : l'épaisseur minimale mesurée moins l'épaisseur de retrait, le tout divisé par la vitesse. La vitesse peut venir de l'historique du réservoir lui-même, de celui d'un réservoir témoin, ou de la littérature à défaut de mesures. Sauf justification, on retient la plus pénalisante des valeurs issues des historiques. Le détail du calcul est traité dans comment calculer une vitesse de corrosion.

Cette durée de vie est ensuite multipliée par un facteur de confiance compris entre 0,5 et 1. Ce facteur ne dépend pas de l'équipement mais de la qualité de ce qu'on sait de lui : nombre d'inspections antérieures, intervalle de la précédente, qualité des données et des méthodes employées, résultats obtenus, maintenance préventive réalisée, réparations effectuées, changements d'affectation.

Enfin, et c'est le point le plus souvent perdu, le calcul est mené section par section. Fond, robe, toit donnent trois intervalles. L'intervalle retenu est le plus court des trois.

Les codes américains procèdent autrement mais aboutissent au même esprit. L'API 510 retient la moitié de la durée de vie résiduelle, plafonnée à dix ans, et bascule à la durée complète plafonnée à deux ans lorsque la vie résiduelle descend sous quatre ans. L'API 653 utilise le quart de la vie résiduelle pour l'inspection externe des réservoirs, et non la moitié : c'est une erreur fréquente dans la littérature de seconde main.

Ces codes disent aussi ce qu'il faut faire quand on ne sait pas. Vitesse de corrosion inconnue et aucune expérience comparable : cinq ans au maximum en mesure d'épaisseur, dix ans au maximum en inspection interne. Manquer de données n'autorise pas à espacer, cela oblige à resserrer.

Les critères qui font varier une périodicité

Les guides professionnels français organisent ces critères en deux blocs. Le DT 84 retient cinq facteurs de probabilité et cinq facteurs de conséquence, et le DT 32 résume la logique en une phrase que je n'ai pas trouvé mieux formulée ailleurs : les actions de surveillance sont « d'autant plus fréquentes, approfondies et complètes que la criticité de l'équipement est élevée ».

Ce qui tient à l'équipement lui-même. Sa conception et sa complexité géométrique, le niveau de connaissance de son dossier de fabrication, son matériau, son âge, son niveau d'endommagement constaté, la qualité des interventions qu'il a subies. Un équipement dont le dossier de construction est incomplet n'est pas dans la même situation qu'un équipement documenté, même s'ils sont identiques.

Ce qui tient au procédé. Stabilité des paramètres, risques d'excursion hors du domaine normal, conditions transitoires d'arrêt et de démarrage, connaissance des fluides et de leurs impuretés. Le DT 32 insiste sur la présence occasionnelle, dans le produit, d'éléments susceptibles d'engendrer une dégradation. C'est souvent là que se joue l'écart entre la vitesse calculée et la vitesse réelle.

Ce qui tient aux conséquences. Quantité et état du fluide relâché, énergie libérable, inflammabilité, toxicité, indisponibilité de l'installation, effets induits sur les équipements voisins et sur les personnes présentes. Les données de l'étude de dangers sont directement exploitables.

Ce qui tient à l'inspection elle-même. C'est le facteur le plus contre-intuitif. La qualité de vos contrôles antérieurs entre dans le calcul de votre prochaine échéance. Méthodes pertinentes au regard des mécanismes attendus, points de mesure représentatifs, repérage reproductible d'une campagne à l'autre, aptitude à quantifier le dommage et pas seulement à le détecter. Une inspection qui ne sait pas dire de combien l'équipement s'est dégradé ne permet pas d'allonger quoi que ce soit. Le sujet est traité dans le placement des points de mesure d'épaisseur.

Ce qui tient à l'accessibilité. Attention au raisonnement inverse. L'accessibilité difficile n'allonge jamais un intervalle : elle change la méthode, sous conditions strictes. Les codes admettent de remplacer une inspection interne par des contrôles externes, mais en listant des conditions cumulatives, pas en accordant un report.

Le calorifuge, enfin, ne raccourcit ni n'allonge : il détermine ce qu'on voit. Sans dépose, une inspection externe ne prouve rien sur la paroi. Le DT 84 organise une montée en profondeur : décalorifugeage partiel autorisé jusqu'à la troisième requalification, total à la quatrième, puis toutes les deux requalifications. Et l'API 570 fixe des étendues chiffrées pour la corrosion sous calorifuge : sur une tuyauterie de classe 1, soixante-quinze pour cent des zones à calorifuge endommagé doivent être contrôlées, cinquante pour cent en classe 2, vingt-cinq en classe 3.

Le risque qu'aucun calcul d'épaisseur ne voit

Tout ce qui précède mesure une paroi qui s'amincit. Une famille entière de risques échappe à ce raisonnement, et c'est celle qui coûte le plus cher quand elle se réalise.

Le cas de référence

En 1987, une publication du Lancet documente une épidémie de salmonellose liée à une poudre de lait infantile. La source est rattachée à la tour de séchage de l'usine, qui présentait un trou dans son revêtement interne. La poudre s'échappait par ce défaut, entrait en contact avec le matériau isolant contaminé, et y revenait.

Un chiffre de cette enquête mérite d'être retenu par tous ceux qui comptent sur le contrôle libératoire : malgré des recherches intensives, la souche n'a été isolée que dans quatre paquets scellés sur deux cent soixante-sept. Une contamination sporadique ne se voit pas dans un plan d'échantillonnage. Elle se prévient à la source, par l'intégrité de l'équipement.

Mécaniquement, ce trou n'était rien. Aucun calcul de tenue ne l'aurait signalé. Sanitairement, il a fermé une usine.

Ce que les textes d'hygiène disent, et ce qu'ils ne disent pas

Le résultat est contre-intuitif : aucun référentiel d'audit ne fixe de fréquence.

Le BRCGS, dans sa clause 4.7.2, exige que lorsqu'il existe un risque de contamination du produit par corps étrangers résultant d'une dégradation de l'équipement, celui-ci soit inspecté à intervalles prédéterminés, les résultats documentés et les actions engagées. La périodicité n'est pas donnée. L'IFS Food impose un plan de maintenance documenté couvrant tous les équipements critiques, et exige que les défaillances des équipements essentiels à la sécurité des aliments soient identifiées, documentées et revues pour améliorer le plan. Aucune fréquence non plus. Le FSSC 22000 traite la conception hygiénique à l'achat et impose un processus de gestion du changement, sans exigence de contrôle périodique d'intégrité.

Recherche faite dans les textes de ces trois référentiels : le mot « séchoir » n'y figure pas.

Le Codex, en revanche, nomme les choses. Son code d'usages pour les préparations en poudre pour nourrissons demande que l'équipement soit conçu, construit et maintenu de manière à éviter fissures, interstices, soudures rugueuses, tubes creux, ajustements serrés, interfaces métal-plastique et isolants mal posés ou mal entretenus. Son code pour les aliments à faible teneur en eau va plus loin encore : une maintenance préventive doit être en place pour identifier et corriger les microfissures des équipements à double enveloppe régulés en température, et l'eau de ces doubles enveloppes doit être potable, précisément parce qu'une microfissure la ferait entrer dans le produit.

Deux autorités, deux stratégies opposées

Sur les échangeurs à plaques, la comparaison est instructive.

L'agence canadienne d'inspection des aliments demande de vérifier l'intégrité de toutes les surfaces d'échange au moins une fois par an, pour chacune des trois sections d'un pasteurisateur, par exemple par recirculation de colorant ou tenue en pression. Elle demande aussi un programme de surveillance de l'état des plaques tenant compte des heures de fonctionnement, de l'usure et de l'historique, et impose que si un trou d'épingle est trouvé sur une plaque, toutes les plaques de la même section soient contrôlées.

L'ordonnance américaine sur le lait pasteurisé ne prescrit rien de tel. Elle impose que le lait cru soit en permanence à une pression inférieure à celle du lait pasteurisé dans le régénérateur, et fait vérifier les pressostats au moins tous les trois mois. La raison de santé publique est écrite dans le texte : cette barrière de pression protège si des défauts apparaissent dans le métal ou dans les joints.

Le Canada contrôle l'intégrité. Les États-Unis assument que le défaut puisse exister et contrôlent la barrière. Les deux logiques sont défendables, et un plan qui n'en retient qu'une devrait au moins savoir laquelle.

Quand la périodicité cesse d'être la bonne réponse

Un dernier exemple, sur la vapeur culinaire. La pratique 3-A qui décrit sa production n'impose aucun contrôle calendaire du filtre. Elle impose un moyen de mesure de la pression différentielle aux bornes du média filtrant, qui indique le besoin de remplacement.

La périodicité y est remplacée par une condition mesurée. Le BRCGS admet d'ailleurs la surveillance d'état comme alternative à la maintenance planifiée. Un outil qui calcule des intervalles doit savoir dire quand l'intervalle n'est pas la bonne réponse.

Le produit fabriqué change la criticité du défaut

Il faut être précis ici, parce que l'intuition est juste mais que la source ne dit pas ce qu'on lui fait souvent dire.

Le texte le plus net vient du référentiel européen de fabrication des médicaments stériles. Sa révision de 2022 énonce que la classification et la criticité des défauts doivent être déterminées lors de la qualification, sur la base du risque, et que les facteurs à considérer incluent l'impact potentiel du défaut sur le patient et la voie d'administration. Le guide international de gestion du risque qualité pose de son côté deux principes : l'évaluation se rattache in fine à la protection du patient, et le niveau d'effort et de formalité doit être proportionné au niveau de risque.

Ces textes parlent du défaut au regard du produit, pas de la périodicité de l'équipement. Le passage de l'un à l'autre est une déduction, défendable et documentable, mais une déduction. Aucun texte consulté ne dit « équipement en contact avec une nutrition infantile égale contrôle tous les X mois ».

Ce que dit en revanche le référentiel de qualification pharmaceutique, et qui est directement utilisable : les équipements et utilités doivent être évalués à une fréquence appropriée, et lorsqu'une requalification périodique est réalisée, la période doit être justifiée. C'est le fondement du passage d'un calendrier hérité à un intervalle argumenté. Il ne donne aucun chiffre. Il exige une justification.

Un texte va plus loin, et c'est celui des dispositifs médicaux : la norme de management de la qualité du secteur impose de documenter les exigences de maintenance y compris leur périodicité lorsqu'elles peuvent affecter la qualité du produit, et d'en conserver les enregistrements. L'intervalle y devient lui-même un livrable documentaire.

Ce que la réglementation ne fixe pas, et que vous devez remplir

La liste est plus longue qu'on ne le croit, et c'est là que se joue la valeur du travail.

La périodicité réelle, tant qu'elle reste sous le plafond. Toute la périodicité des tuyauteries sous pression. La nature, l'étendue et la localisation des contrôles. Le recours ou non à une analyse de risque formalisée, qui reste une démarche volontaire. Le choix entre vitesse court terme et vitesse long terme, que les codes demandent de comparer puis de justifier, sans imposer de règle. Les seuils de décision, c'est-à-dire à partir de quelle marge, de quel constat ou de quel dépassement on resserre. Et la totalité des équipements hors du champ réglementaire de la pression : tours de séchage, échangeurs sous les seuils, cuves atmosphériques, circuits de nettoyage.

Un point mérite d'être connu : les guides professionnels prévoient explicitement que leurs dispositions peuvent s'appliquer à des équipements hors du domaine réglementaire. C'est le pont le plus direct entre la méthode d'inspection des équipements sous pression et les équipements procédé critiques pour la sécurité des aliments, qui n'ont pas de méthode à eux.

• Prendre le plafond réglementaire pour la bonne périodicité.L'arrêté écrit « aussi souvent que nécessaire » et impose de réduire si l'état le justifie. Le plafond est une limite, pas une cible.
• Appliquer la formule d'épaisseur à un mécanisme localisé.Le code d'inspection des tuyauteries l'écrit noir sur blanc : le traitement statistique de mesures ponctuelles n'est pas applicable aux systèmes affectés de corrosion localisée imprévisible. C'est la limite la plus nette de tout le calcul.
• Retenir un intervalle unique pour un équipement entier.Les guides calculent par section et retiennent le minimum. Un fond de réservoir et son toit n'ont pas la même échéance.
• Compter la durée de vie résiduelle depuis aujourd'hui.Elle se compte depuis la date du dernier relevé. L'erreur est fréquente et toujours dans le sens dangereux.
• Espacer parce qu'on manque de données.Les codes font l'inverse : sans vitesse connue, les plafonds tombent à cinq et dix ans.
• Confondre intervalle et étendue.Une inspection à la bonne date au mauvais endroit ne détecte rien. Les zones sensibles listées par les guides valent au moins autant que la date.
• Attendre l'échéance après des travaux.Travaux, modification, réparation et changement d'affectation réinitialisent l'analyse. Le Codex demande même d'augmenter la fréquence de surveillance pendant et après des travaux.