Écrire une procédure testable : rôles, prérequis, rollback
Structurer une procédure d'exploitation exécutable, vérifiable et réversible, avec ses points d'arrêt et son plan de repli.
À retenir
- Chaque étape d'une procédure doit avoir un critère de vérification explicite avant de passer à la suivante.
- Le plan de rollback se rédige en même temps que la procédure principale, pas après coup.
- Les points d'arrêt (go/no-go) sécurisent les moments de plus grande vulnérabilité, comme le bypass onduleur.
- Faire relire une procédure par un non-spécialiste révèle les formulations ambiguës.
Une bonne procédure se teste avant de servir
Une procédure d'exploitation n'a de valeur que si elle est réellement exécutable par quelqu'un d'autre que son rédacteur, dans les conditions réelles du site, avec la possibilité de revenir en arrière en cas de problème.
La structure minimale d'un MOP/SOP robuste
- En-tête : titre, numéro de version, équipement concerné (marque, modèle, numéro de série), date, auteur, valideur.
- Objectif : résultat attendu en une phrase.
- Risques identifiés : liste des risques (électrique, thermique, coupure de service) avec leur gravité.
- Prérequis : habilitations nécessaires, outillage, EPI, autorisations préalables (fenêtre de maintenance validée), météo si pertinent (groupe électrogène extérieur).
- Étapes numérotées : chaque étape est une action unique et vérifiable, avec le résultat attendu explicite.
- Points d'arrêt (go/no-go) : moments où l'exécutant doit confirmer un état avant de poursuivre.
- Plan de rollback : étapes précises pour revenir à l'état initial en cas d'échec, à n'importe quel stade de la procédure.
- Critères de clôture : comment vérifier que l'opération est un succès complet.
Point clé
chaque étape doit répondre à la question « comment saurai-je que cette étape a réussi avant de passer à la suivante ? » — sans critère de vérification explicite, l'étape n'est pas exploitable en sécurité.
Exemple simplifié : MOP de bascule d'un onduleur en bypass maintenance
| Étape | Action | Vérification | Point d'arrêt |
|---|---|---|---|
| 1 | Confirmer charge IT actuelle et marge de l'onduleur redondant | Charge < 40 % de la capacité N | Oui |
| 2 | Basculer l'onduleur A en mode bypass statique | Voyant bypass actif, aucune alarme | Oui |
| 3 | Vérifier la tension et fréquence en sortie bypass | Dans les tolérances constructeur | Oui |
| 4 | Isoler l'onduleur A pour maintenance | Disjoncteur amont ouvert, VAT (vérification d'absence de tension) | Oui |
| 5 | Réaliser la maintenance prévue | Rapport constructeur signé | Non |
| 6 | Réintégrer l'onduleur A en mode normal | Charge répartie, aucune alarme | Oui |
Attention
l'étape de bascule en bypass est le moment de plus grande vulnérabilité de la procédure : le site n'est alors plus protégé contre les micro-coupures amont. Sa durée doit être minimisée et jamais réalisée en dehors d'une fenêtre validée.
Rollback : la partie souvent négligée
Un rollback n'est pas « annuler ce qu'on vient de faire » de façon vague, mais une séquence d'étapes aussi précise que la procédure d'origine. Rédiger le rollback en même temps que la procédure principale, jamais après coup.
Sur le terrain
faire relire un MOP par une personne qui ne connaît pas l'équipement est un excellent test : si elle bute sur une étape, c'est que la formulation n'est pas assez explicite pour un exécutant sous pression.
Astuce
simulez le MOP sur banc d'essai ou en environnement de test avant sa première exécution en production, chaque fois que c'est possible ; les fournisseurs d'onduleurs et de groupes proposent souvent cette option lors des contrats de maintenance.