1、SAE-ARP-4761（1996）FMEA 是一种系统的，自下而上的方法，用于识别系统， 项目或功能的故障模式，并确定对下一个更高级别的影响。它可以在系 统中的任何级别 （例如，零件，功能，黑盒等）执行。软件还可以使用功能 FMEA 方法进行定性分析。通常，FMEA 用于解决单个故障导致的故障影响。FMEA 的范围应该与请求它的用 户协调。分析可以是部件 FMEA 或功能 FMEA。如果从功能 FMEA 导出的故障率允 许满足 PSSA 概率预算， 则 可以不需要零件 FMEA。FMEA通常包括以下信息。a、 组件、功能或/和功能的识别；b、 故障模式和相关的硬件故障率（数值或分类）；c、
2、失效效应（直接和/或在下面更高 级水平）；d、 可检测性和检测手段；FMEA 也包括以下信息：a、 补偿动作（即自动或手动）；b、 发生故障的飞行阶段；c、 故障影响的严重性FMEA 可以与概率技术（例如 FTA 或 DD）结合使用以产生定量分析。 此外，FMEA 可以用于通过从下到上提供故障效应的补充列表来补充 FTA / DD。故障模式和影响分析（FMEA）1、 介绍故障模式和影响分析（FMEA ）是一种系统方法，用于 识别系统，项目，功能或零件的故障模式，并确定对下一个更高 级别设计的影响。 还可以确定每个故障模式的 检测方法（如果有的话）FMEA 可以是定量或定性分析，并且可以在所有类
3、型的系统（例如，电气，电子或机械系统）上执行。如果正在执行定量 FMEA，则针对每个故障模式确定故障率。FMEA 的结果可以用于生成故障模式和效果概要（FMES），并且通常用于支持系统安全评估（SSA）过程的其他分析技 术，例如故障树分析（FTA），依赖关系图 DD）或马尔可夫分析（MA）。故障的组合通常不被 认为是 FMEA 的一部分。2、 范围通过假定所选级别的具体实现可能失败的方式对给定级别（系统，项目等）执行FMEA。 每个故障模式的影响在给定等级下确定，并且通常是设备的每个操作模式的下一较高等级。 有时，FMEA 可能需要专注于特定操作场景以支持自上而下的 FTA，DD或 MA。FM
4、EA 必须考虑所有与安全有关的影响以及由要求确定的任何其他影响。 在不可能识别故障模式的特定性质的情况下，必 须假定最坏情况的影响。 如果最坏情况对于故障树是不可接受的，则必须 在下一个较低的等级检查故障模式。 （即，如果 FMEA 在功能级别进行，则降至零件级别 ，并排除 对所考虑事件没有影响的 组件。如果分析是在零件级别进行，则降低以考虑 特定故障机理。另一个 选择是重新 设计以改善冗余或添加监控。无论 FMEA 的执行水平如何，FMEA 的主要步骤包括准备，分析和文档。3、 FMEA 过程3.1 FMEA 准备阶段FMEA 的准备包括确定客户要求，获得当前文档，以及了解功能的操作。在开始
5、之前了解客户对 FMEA 的期望和要求很重要。 如果 FMEA 要求未知，FMEA 可能不满足请求者的需求，可能必须重做。FMEA 的要求通常源自 PSSA 活动，例如 FTA，DD，MA。 分析师需要知道分析水平（功能对零件），安全相关效 应，其他故障影响和感 兴趣的操作模式。 FMEA 用于支持安全评估过程，通过提供故障率来量化 FTA，DD 或 MA 的基本事件。 FMEA 还可以用于通过 FMEA 故障模式与故障 树的基本事件的比较来支持 FTA 的验证。开始执行分析之前的最后一步是获得完成分析所需的以下信息，或者可以 简化分析活动。a、 FMEA 要求，包括相关的安全性和要求的故障影
6、响和特定的运行模式；b、 规格；c、 当前图纸和原理图；d、 每个系统和项目的部件列表；e、 功能框图；f、 说明材料包括操作理论；g、 适用的故障率列表；h、 上一代或类似功能的 FMEA；i、 任何未包含在原理图中的设计更改和修订（注意：设计可能会频繁更改，并且具有最新材料将减少 FMEA 更新。 ）j、 如果适用，先前 FMEA 的组件故障模式的初步列表；注：对于在设计阶段早期执行的 FMEA，上述一些信息将不可用，并且可能必须进行假设或估计。 必须保留这些假设 的详细文档，以便 进行可追溯性并 简化未来的更新。3.2 执行分析分析人员需要审查和理解在上述准备阶段收集的信息。 分析人员还
7、会发现，理解所分析的设计在下一个更高级别中执行的功能很有用。 在分析者 获得足够的知识之后，识别故障模式。 在被分析的设计等级，每个可行的硬件故障模式被假定。 组成给定级别的组件或功能的故障模式需要考虑。 在 3.2.1 和 3.2.2 中提供了帮助确定功能或部件的故障模式的信息。分析每个识别的故障模式以确定其对给定级别的影响，并且通常也包括对较高级别的影响。为每种不同类型的效果 创建失效效应类别，并且可以将代码分配给每个效果类别。通过将每个效果的描述从工作表移 动到报告正文来定 义这些代码简化了 FMEA工作表。FMEA 工作表提供了故障模式，效果和概率的列表。在以下部分中提供了FMEA 工
8、作表的示例。每个效果类别必须只有一个更高级别 的效果，否则效果类别必须更详细地定义。例如，如果效果 类别最初被定义为“ 使信号 xyz 超出规格”，但是超出高规格的情况与超出低规格的情况造成的效果是不同的，则 效果类别应当被分割为“.超出高规格 “和”.超出低规格“。 类似地，如果 发现故障模式 导致两个更高水平的效果（例如， “信号 A 的损失” 和“ 信号 B 的损失”）， 则这两个应当被 组合以形成新的效果类别“信号 A 和 B 的损 失“ 。检测故障的方法通常在 FMEA 工作表中确定并记录。 检测方法的示例包括通过硬件或软件监视器，飞行机组检测 ，上 电测试和维护检查。对于定量 FM
9、EA，将故障率分配给每个故障模式。 只要可能，故障率应根据已经在现场使用的类似设备的故障数据确定。 行业的故障率包括 MIL-HDBK-217，MIL-HDBK-338，RAC“无电子零件可靠性数据 ”。 （NPRD）和 GIDEP（政府工业数据交换计划），MIL-HDBK-978 和罗马实验 室的“可靠性工程师工具包 ”。每个故障影响 类别的总故障率可在汇总表中详细说明，或概述在故障模式和影响 总结（FMES ）中。有两种基本类型的 FMEA-功能和部件。 通常执行功能 FMEA 以支持安全性分析效应， 执行零件 FMEA 是为了提供故障率的进一步细化所必 须的。 通常，当来自功能FMEA
10、分析获得的过于保守的故障率不能 让系统或项目满 足 FTA 失效预算概率时，部件 FMEA 被将被执行。部件 FMEA 也可用于依赖冗余设计的系统，因为功能 FMEA 可能不会揭示影响多于一个冗余元件的单个组件故障。部件 FMEA 也用于机械项目和组件的安全分析。3.2.1 功能 FMEA功能 FMEA 可以在任何维修 约定级执行。 细分适当的等级由系统的复杂性和分析的目标决定。如果所需的分析主要在电路或机械装置的某部分上，而不主要是特定的功能， 则其应被分解成功能块。从飞机或系 统级， 这可以意味着将每个 LRU 或项目定义为功能块。从系统或更低级别也许涉及到将项目分解为许多块。如果每个块具
11、有尽可能少的输出， 则 FMEA任务就得到了简化。一旦确定了功能 块， 应创建功能框图，并且每个块标记有其功能名称。对于每个功能块，应相对于系 统操作分析内部和接口功能。下一步是为每个功能块假定故障模式。通 过考虑功能块的意 图（功能）并尝试确定该功能如何失效来确定失效模式，无论使用的部件具体是什么。分析人员必须足够了解功能块的操作，以至于没有忽略重要的故障模式，包括可能影响多个冗余功能块的单个部件故障。通常，给定块功能的清楚描述，这会使得许多故障模式变得很明 显。以下是功能故障模式的简单示例：产生 5V 的电源电路可以称为功能块。一些功能故障模式的示例如下。a、没有电压b、电压不足 5Vc、
12、电压大于 5Vd、输出的 5V 带有噪声e、对地短路或其他电压基于电路实现可能存在其它故障模式。通过考虑该功能如何适应整体设计来确定每个故障模式的效应。通常为每种效应类型创建失效效应类别，并分配失效效 应类别代码。 导致相同效 应的所有故障模式都分配给效应类别。然后，对于每个故障，效应类别代码可以输入到 FMEA 工作表中，如表 G1 所示。在确定故障影响和检测手段时，必 须考虑软件和故障监控。作 为 此分析的一部分，分析人员还必须验证监控确实可以检测故障模式。 为了正确执行此分析，分析人员必须具有系统要求和软件设计的详细知识，包括适用的内部故障管理技术。如果正在进行定量分析，则向每个故障模式
13、分配故障率。一种技术是基于类似功能的以往经验来执行每个块的故障率预测并且为各种故障模式分配故障率，从而确定 发生概率。部件故障分布指南见 G.3.2.2.1。Table G1 功能 FMEA 工作表（Functional FMEA worksheet）故障模式和影响分析（FMEA ）系统（System） Date子系统（Subsystem ）FMEA DescriptionSheet of（item ATA） FTA References: FileAuthor： Rev功能名称Function Names功能代码Function Code失效模式Failure Mode模型故障率Mode f
14、ailure Rate 飞行状态Flight Phase失效效应Failure Effect检测方式Detection Method注释Comments功能 FMEA 的结果记录在类 似于表 G1 的工作表中。 此示例表可以修改以满足程序需要。 不同的要求可能导致添加或删除一些信息。 分析人员应该 在开始分析之前确保 FMEA 表格和内容满足请求者的特定需求。随着分析的进行，应对 FMEA 的未来维护进行非正式记录，并协助解决有关 FMEA 的问题。a、 每个故障模式的说明；b、 分配故障率的理由；c、 将特定故障分配给故障效应类别的原理；d、 记录所做的任何假设；这份文件不在 FMEA 的报
15、告中，但是应保留作为参考。3.2.2 部件 FMEA部件 FMEA 类似于功能 FMEA，不同之处在于，不是在功能或框图级别分析，而是分析包含在项目或功能中的每个单独组件的故障模式。部件 FMEA 可用于确定潜在的电气，电子或机械故障的故障影响。例如，电阻器或电机轴的故障的影响可以被认为是部件 FMEA的一部分。电子设备上的部件 FMEA 通常只在功能 FMEA 过于保守的结果不能使该项目满足 FTA 故障预算概率时才需要 执行。 这部分是由于难以确定复 杂组件的故障模式。部件 FMEA 的第一步是创建一个由 FMEA 覆盖的所有组 件的列表。下一步是确定每个组件类型的故障模式。这是部件 FM
16、EA 中最困难的部分，特别是对包含复杂集成电路的电子产品执行的 FMEA。确定除了最简单的组件（其中行业数据可用）之外的所有故障模式是非常困难的，有时是不可能的。当有疑问时，必须做出部件失效模式的最坏情况假设。帮助确定部件故障模式的信息包含在 3.2.2.1 中。一旦组件的零件失效模式被确定，它们被输入到 FMEA 工作表中，如表 G2 所示。此示例工作表可以修改以满足个人需求。不同的要求可能导致添加或 删除工作表中的一些信息。分析人员应该在开始分析之前确保 FMEA 表格和内容满足 请求者的特定需求。Table G2 零件 FMEA 工作表（Piece-Part FMEA worksheet
17、）故障模式和影响分析（FMEA ）系统（System） Date子系统（Subsystem ）FMEA DescriptionSheet of（item ATA） FTA References: FileFunction Author： Rev部件数Part Number部件类型Part Type失效模式Failure Mode模型故障率Mode failure Rate 飞行状态Flight Phase失效效应Failure Effect检测方式Detection Method注释Comments下一步是确定故障对下一个更高级别组件的影响，并 为故障分配故障影响 类别。可以将失效效应代码分配
18、给每个类别以简化表格。然后可以将每个失效效 应类别的详细描述包括在报告的文本中。导致相同效果的所有故障模式都分配 给效果 类别。然后，效果类别代码可以针对每个故障输入到 FMEA 工作表中，如表 G2 所示。在确定故障影响和检测手段时，必须考虑软件和故障监控。作为此分析的一部分，分析人员还必须验证监 控确实可以检测故障模式。为了正确执行此分析，分析人 员必须具有系统要求和软件 设计的详细知识，包括适用的内部故障管理技术。如果正在进行定量分析，则向每个故障模式分配故障率。 组 件部件故障分布指南见 3.2.2.1。随着分析的进行，应对 FMEA 的未来维护进行非正式记录，并协助解决有关 FMEA
19、 的问题。e、 每个故障模式的说明；f、 分配故障率的理由；g、 将特定故障分配给故障效应类别的原理；h、 记录所做的任何假设；这份文件不在 FMEA 的报告中，但是应保留作为参考。3.2.2.1 确定零部件故障模式和故障分布当执行零件 FMEA 时，可能需要进一步分解组件的故障率以识别适用于特定故障模式的故障率的百分比。可以从诸 如 RAC“故障模式/ 机构分配”（FMD），MIL-HDBK-978 和罗马实验室的“可靠性工程师工具包”等行业文件中获得指导， 这些文件为许多组件类型提供此信息。要考虑的典型故障模式包括但不限于以下：a、 打开b、 短路c、 参数漂移d、 失调e、 介质（绝缘体
20、）击穿f、 间歇操作g、 不工作h、 误操作i、 磨损j、 机械故障k、 黏着l、 疏松m、断裂通常，必须考虑组件的功能，并且必须考虑组件可能无法正确 执行该功能的所有潜在方式，以包含在组件故障模式列表中。还必须考虑组件的意外功能。上述参考文献提供了良好的基础，允许分析人员确定被分析的 组分的潜在失效模式。工程判断是故障模式确定过程的必要部分。尽管故障率和模式源文档为某些组件类型的故障模式提供了基础，但是这些文档中不包含许多设备类型。这对于需要逐部分地考 虑的复杂数字 IC 尤其如此。 确定数字设备的故障模式通常需要工程判断，并且不可能针对复杂数字 IC 确定所有故障模式。用于估计复杂数字设备
21、的故障模式的方法是用可以存在更好的故障模式的定义的功能块来对所考虑的数字设备进行建模。如果可能，将功能块可能故障的引脚电平影响确定为器件故障模式。一些故障可能影响多个引脚和引脚的各种组 合。必 须特别注意可能导致 FTA基本事件的潜在部件故障模式。尝试通过物理故障方法来确定实际故障机制和相关影响不推荐用于 IC，因为它迫使分析人员对每个数字 IC 执行“FMEA”。 该“ FMEA”可能比完成的 较高级 FMEA 更复杂，并且对于复杂 IC 可能无法实现。此外，芯片制造商未公开的增强设计可能使整个工作毫无意义（过时）。复杂的 IC 故障模式可以包括 间歇性故障和可能影响多个引脚的各种故障 组合
22、。其他组件类型的故障模式比 ICs 更容易获得。然而，从多个参考看，相同的组件类型，可能产生不同的故障模式分布，有 时甚至是不同的故障模式。这指出，即使是简单的组件，它是很难确定哪些潜在的失效模式是有效的，哪些不能发 生。3.2.3 证实如果难以确定故障模式的失效效应的分析方法， 则应尽可能 进行实验室验证。期望通 过测试验证所有重要的失效效应。 对于电气或电子系统，可以通过打开引线或将引线短接在一起或接地来引入故障。如果器件输出可以分为三态， 则可以 轻松引入逻辑组合。不幸的是，最难分析的故障模式有时难以通过测试来确认。例如，不可能为大多数 IC 引入所有故障。计算机辅助设计软件也可用于模拟
23、故障。 该软件允许将等效的故障引入到 电路仿真中并确定故障效应。在测试和实际使用期间的故障分析也可用于证实 FMEA 的结果。 此故障数据还可用于为将来的 FMEA 创建故障模式 库。4、文档4.1 FMEA reportFMEA 的报告应该包括：a、 可用于 FMES、FTA 或相似分析参考的文档 编号；b、 介绍包含关于 FMEA 的目的和 对象的简要说明。c、 操作的简要概述和框图。d、 描述分析方法的部分。 （本 节应包括如何执行分析的描述，使用的级别的定义和相关假设的列表）。e、 FMEA 结果的完整列表。 （可以使用类似于 G.3.2.1 和 G.3.2.2 中包含的示例的 FME
24、A 形式。 ）f、 识别所分析的硬件，软件和固件的部件号和修 订状态。g、 附录还应包括以下项目。、1、 图纸或示意图、2、 在分析期间定义或从其他来源获得的较低级别组件的任何故障模式分布（包括所有考虑的模式的调整）。、3、 在分析中使用的故障率和故障率源的列表4.2 FMEA 检查表以下清单将确保以正确的顺序执行正确的步骤，以 执行具有成本效益和准确的 FMEA。1、 如果可能，从客户或请求者 获得书面规定的要求：、a、 所考虑的失效效应，、b、 要考虑的输出，、c、 可允许的故障检测方法，、d、 最后报告格式，、e、 附表。2、 准备分析：、a、 获取并理解文件、b、 产生部件列表、c、
25、将设备划分为子层并记录划分、d、 如果需要零件分析，则 收集部件的故障模式。3、 准备详细分析、a、 确定故障模式和分配故障效应码、b、 避免故障模式的不良定义，使得从当前水平到更高水平 时不会发生混淆，、c、 如果需要，确定每个故障效 应类别的检测方法，、d、 提供详细说明，失效类别 分配的理由。4、 验证任何问题的分析结论（如果可能，包括 实验室或飞 机数据）。5、 撰写报告五、检测程序和监测的检测覆盖分析：这种类型的分析有助于确定各种测试过程在潜在故障检测方面的有效性。用于实现此目的的方法涉及对可应用的故障模式的检查，以确定是否检测到它们的影响，以及确定适用于检测到的故障模式的故障率的百分比。检测装置本身可能潜在故障的可能性应当在覆盖分析中被考虑并作为限制因素（即，覆盖不能比检测装置更可靠）。在 FMEA 中包括检测覆盖可能 导致每个单独的故障将使得原本是一个故障效应类别现在变成分离的故障类别，原因是 检测覆盖可能性的存在。包含检测覆盖的另一种方式是针对FTA 的，我 们保守地假定由于检测方法中的潜在故障在覆盖中没有 遗漏。 对于这种保守假设无法满足顶事件概率要求的情况可以修改 FMEA。
