GB/T78262012/IEC60812:2006

如图1所示，当系统逐级分解到基本单元时，一个或多个失效模式影响导致了某个失效模式发生， 同样，该失效模式影响则是更高层次的失效原因，称为部件失效。依此类推，部件失效是模块的失效原 因，模块失效则是子系统失效的原因，同样，子系统层的失效可导致更高层次另一失效。

燃气标准规范范本5. 2. 2.4 系统结构描述

用符号来描述系统的结构和工作情况，特别是图表，对辅助分析十分有用。 应当构建一个能突出强调系统所有基本功能的简单图表。在图表中，用表示每种功能输出和输入 的线条将方框连接在一起。应准确描述每种功能和每个输人的性质，通常可用几种图表分别描述系统 工作的不同状态。 随着设计的深人，可以构建用框图表示实际元件或部件的结构，利用这些附件的信息，可更准确识 别潜在的失效模式和失效原因。 图表应该显示各个单元之间的所有串联和穴余关系，以及它们功能上的依存关系，以追踪系统的功 能性失效。需要多个图表描述系统各种备选的工作模式。图表至少应该包括以下内容： a）将系统分解为主要子系统，包括其功能关系： b）合理标识所有的输入/输出，子系统标识码引用应保持一致； 提供防止系统故障的所有尔余，备选信号通路和其他工程特性

5.2.2.5系统启动、运行、控制和维修

应详细说明系统在不同工作条件下的状态，以及系统及部件在不同工作状态的配置变化或位置变 化。应定义系统的最低性能要求，以便清楚地理解系统正常运行和（或）发生失效的判据。应根据可达 到的规定最低性能和能够接受的最大损伤或伤害程度，考虑可用性和安全性的具体要求。为此，应准确 了解： a) 要求系统执行的每项功能的持续时间； b 周期性检测的时间间隔； 系统发生严重后果之前，可用于采取纠正措施的时间； d 整个装备、环境和人员情况，包括界面及界面与操作者的相互作用；： e） 系统启动、关闭和其他操作切换的程序； f 工作状态的控制； 预防性维护和（或）修复性维修； 例行检测程序（如果使用）。 如前所述，FMEA的作用之一是有助于维护策略的提出，如果维护策略已预先确定，进行预防性维 护和修复性维修所需的维修工具设备、备用件信息应当是已知的

5.2.2.6系统环境

应规定系统的环境条件，包括周围环境条件和由邻近的其他系统形成的局部环境条件。应详细描 述系统与其辅助设备或其他系统和人机接口的相互关系、依赖性或关联性。 在设计阶段，上述情况通常不全部清楚，因此近似和假设是必要的。随着项目的进展，信息会增加， 允许根据新的信息、更改后的假设或近似的出现，对FMEA进行修改

5.2.3失效模式确定

系统能否正常工作是由系统中某些重要单元的性能决定的。系统性能评价的关键是识别那些重 元。从以下几个方面准备可预计的失效模式清单，能有效增强失效模式、原因和影响的识别： a）系统用途；

GB/T7826—2012/IEC60812.2006

b) 系统包含的特殊单元； c) 工作模式； d) 有关的操作规范； e) 时间约束； f 环境应力； g）工作应力。 表1给出了通用失效模式示例。

表1通用的失效模式示例

应确定和描述各种潜在失效模式最有可能的失效原因。一种失效模式可能有一种以上的失效原 因，需确定并描述每种失效模式最可能的潜在独立原因。 应在失效影响及其严醋度分析的基础上，确定和描述失效原因，并提出缓解失效的建议。但不必对 分析中确定的所有失效模式都确定和描述其失效原因。失效模式的影响越严酷，失效原因的确定和描 述应该越准确；否则，分析人员可能把精力放在一些对系统没有影响或影响很小的失效模式上，确定其

GB/T78262012/IEC60812:2006

失效原因。 失效原因可通过分析现场失效或试验件失效来确定。当设计是全新的、没有先例时，失效原因可参 考专家的意见确定。 当失效原因确定后，应根据失效模式的估计发生概率和影响严重程度来评估建议措施。

5.2.5.1失效影响的定义

失效影响是失效模式对系统的运行、功能或状态方面导致的后果（见3.4的定义）。一种失效影响 可能是由一个产品或多个产品的一种或多种失效模式引起。 每种失效模式对系统单元工作、功能和状态的影响都需确定、评估和记录。同时，还应当考虑与失 效影响有关的维修活动以及系统目标。失效影响可能对高一层次产生影响，甚至延伸到分析的最高层。 因此，应在每一层次上，对失效产生的高层次影响进行评估。

5. 2. 5. 2局部影响

局部影响是指失效模式对所考的系统单元的影响，应描述每个可能的失效对产品输出的影响。 确定局部影响的目的是为评价已有的备选措施或建议性纠正措施提供判断依据。在某些的场合中，可 能没有失效模式的局部影响

5.2.5.3系统级影响

确定最终影响时，应通过所有中间层次的分析来评价和定义失效对系统最高层次的影响。所描述 的最终影响可以是多重失效的后果（例如：由于安全装置失效导致的灾难性的最终影响，这种情况只有 在安全装置失效并且该安全装置的主要功能又超过了允许限度时才发生）。这些由多重失效引起的最 终影响应在工作表格中指出

5.2. 6 探测方法

对手客种失效模式，分析人员应该确定探测失效所使用的方法和使用人员或维护人员察觉失效发 生所依赖的手段。失效探测可以通过自动化设计（机内测试BIT）在系统工作前制定特定的检查程序， 或者通过维修活动期间的检查来实现。探测可以在系统启动时进行，也可在系统运行过程中连续进行 或者在规定的阶段进行。任何情况下，失效探测及其报告应当消除有危险的工作状况。 除了正在考虑的失效模式外，也应对产生同样表现形式的其他失效模式进行分析和列表。另外，还 考虑运行期间单独探测穴余单元失效的必要性。 对于设计FMEA，探测要考虑到有多大可能，在何时、何处识别出（例如，通过评审、分析、模拟、试 验等方式来识别)设计缺陷。对于过程FMEA，探测要考虑到有多大可能、在过程中的什么环节识别出 缺陷及其发生的概率，例如可通过操作人员、统计过程控制、质量检查程序或过程中的后续环节来识别

5.2.7失效补偿措施

在系统特定层次上，识别能够预防/减轻失效模式影响的任何设计特性或其他措施是极其重要的。 因此，FMEA应当明确表明失效模式发生时该设计特性作出的真实反应，并需记录针对失效的其他补 充措施，这些措施包括： a）一个或多个单元失效时，能使系统继续正常运行的允余产品； b）备选的运行方式；

GB/T78262012/1EC60812.2006

d）充许有效运行或限制损害的其他手段， 在设计过程中，可能会反复重新排列或配置产品的功能单元（硬件和软件），甚至改变其性能。因 此，应当更新FMEA和已识别失效模式的相关事项，基其至重复进行

严酷度是对失效模式影响产品使用的严重程度的评价。严酷度分级高度依赖FMEA的应用 以下几个因素后给出： a）系统的属性，失效对产品使用者或环境所造成的影响； b 系统或过程的功能特性； 客户提出的所有合同要求 d 政府或工业安全要求 保证书中包含的要求。 表2举例说明了共 产品FMEA严酷度定性分级的一种形式。

5. 2. 10 分析步题

图2给出的分析流程图，说明了分析是如何进行的。

表2针对最终影响的严酷度分级示例

GB/T78262012/IEC60812:2006

5.3失效模式、影响及危害性分析（FMECA）

5.3失效模式、影响及危害性分析（FMECA）

在FMEA中加人符号“C”表示在失效模式分析中还进行危害性分析。确定危害性是对失效模式

在FMEA中加人符号“C”表示在失效模式分析中还进行危害性分析。确定危害性是对失效模式

GB/T78262012/IEC60812.2006

5.3.2风险R和风险优先数（RPN)

定量确定危害性的一种方法是采用风险优先数（RPN)。这里，风险是主观上对影响严醋度的估 计，以及这种影响在分析的预设时间段内发生的概率估计。在某些情况下，无法得到这些度量，需要采 用非量化的简单形式FMEA。 在一些分析中FMECA中代表潜在风险R的通用关系式用下式表示：

S一一严酷度，无量纲数，表示一种失效对系统或用户的影响严重程度有多大。 P一一失效发生概率，也是无量纲数。当P的值小于0.2时，可用定量FMEA方法中的危害度C 替代（见5.3.4)。 一些FMEA或FMECA应用还对系统级的失效可探测度等级进行了区分。在这些应用中，增加另 个参数可探测度D(也是无量纲数）来构成风险优先数（RPN)。 RPN=SXOXD

S一一严酷度，无量纲数，表示一种失效对系统或用户的影响严重程度有多大。 P一一失效发生概率，也是无量纲数。当P的值小于0.2时，可用定量FMEA方法中的危害度C 替代（见5.3.4)。 一些FMEA或FMECA应用还对系统级的失效可探测度等级进行了区分。在这些应用中，增加另 个参数可探测度D(也是无量纲数）来构成风险优先数（RPN)。 RPN=SXOXD

—一种失效模式在预先确定或规定的时间段内发生的频度，采用等级值来表示比用真实的发 生概率值表示更合适。 D一 可探测度，即在系统或用户受影响前识别和消除失效的估计概率。D值的排序原则通常与 严酷度或发生概率的排序相反。D值越高，可探测度越小。较低的可探测度将导致较高的 RPN，处理失效模式的优先级较高。 风险优先数可用于确定减缓和消除失效模式的优先次序。除了依据RPN的大小外，失效模式产 酷度也是需要考虑的因素。如果失效模式的RPN相同，严醋度高者优先。 这种关系可用连续的或离散的（有限数量的规定数值）尺度来量化估计。 把失效模式按照它们的RPN值进行排序，RPN越高，优先级越高。在一些应用中，失效影响的 RPN超过规定阅值是不可接受的；而在另一些应用中，严酷度越高就越重要，而不考虑RPN值。 不同类型的FMECA对S、O和D定义了不同的取值范围。有些是1～4或5；还有一些，如广泛用 于汽车工业的设计和生产过程分析的FMECA，称作DFMEA和PFMEA，取值范围则为1～10。

FMECA和风险分析的关

将危害度和严酷度结合起来作为风险度量的一种方法，与通常认同的风险度量方法不同，相比起来 前者没有那么严格，因而成本也较低。这种不同不仅体现在对失效影响严酷度的预测方式上，而且体现 在大大简化了失效因素间复杂的相互作用，使得在FMECA中能按典型的由下而上的方法建模。另 外，FMECA得出各失效因子对总风险的贡献排序，而对高风险系统风险分析的目标通常是风险的可接 受值。事实上，在低风险系统和低复杂程度的系统中，FMECA可能是一种具有高效费比的恰当方法。 但是，在FMECA过程中，无论何时发现存在高风险影响的可能性，建议采用概率风险评价（PRA)法代 替FMECA。 因此，不应把FMECA作为唯一的方法来判定高风险或高复杂系统中某个失效影响的风险是否小 到可接受的程度，即使对这种影响的发生概率和严酷度的估计是基于可信的数据。事实上，这是概率风 险分析的任务，在这种分析方法中，会考虑更多的影响参数及其相互作用，如暴露时间、避免发生的可能

性、潜在失效和故障探测机制等。 应对FMEA识别的每一种失效影响赋予一个合适的严酷度等级。事件发生频度由失效数据计算 或相关部件数据估算得到。事件频度乘以相应的任务时间就是危害度，可根据危害度自身的值确定其 尺度；或者，如果该尺度表示事件发生的概率，那么这个概率应该尺度进行度量。每种失效影响的严酷 度等级和危害性（或发生概率）等级共同决定这种影响的大小。应区分两种主要的危害性评估方法：危 害性矩阵和风险优先数（RPN）

改模式的失效率、发生概率和危害度的确定

应用到FMECA中。如果只能得到部件而不是 失效模式的失效率（这种情况发生的可能性更大），并且这些失效率是针对不同的环境和工作条件的，那 么就需要计算各种失效模式的失效率。 一般采用如下关系式

入, =入,Xα; Xβ

入：一一失效模式i的失效率（假定为恒定的）估计值； 入，一一元部件i的失效率； α:一一失效模式频数比，即产品发生失效模式i的概率； 阝一一给定失效模式i的失效影响条件概率。 这种方法的主要缺陷是假设失效率是恒定的，并且许多因素都只是预计或推测的。尤其是当系统 的元部件没有相应的失效率时，例如在机械部件和系统中，只能计算在特定的应用场合、持续时间以及 相应应力下的失效概率。 当环境、负载和维护条件不同于得到失效率数据的条件时，采用修正因子加以解决。可从可靠性数 据出版物中找到关于如何选择合适的修正因子方面的指导。特别需要注意的是需保证选择的修正因子 是正确的，并且对于特定的系统及工作条件是适用的。 在一些应用中，例如危害性定量分析方法，采用失效模式危害度C（与常用术语“危险程度”无关 该术语可表达不同的含义）代替失效模式发生率入。危害度把条件失效频度和工作时间结合在一起，可 更真实地评定产品在预定的使用期内失效模式的风险。

C,=aXt; C,=a,XaXpXt

式中t表示在FMECA整个预定时间段 部件工作时间，即部件的有效工作 时间。 因此，有m种失效模式的元部件危害度可表示为

C,=,Xa βXt

注意，危害度和术语“危险程度”本身是不相关的。它只是一个对于某些FMECA类型而言的书面 计算值，是一种失效模式后果及其发生概率的相对度量。这里，危害度是对风险的度量，而不是对发生 概率的度量。 值得到的倍度来确定

当失效模式的失效率和得到的危害度很小的时候，可粗略地近似认为当发生概率小于0.2（此 客度等于0.223）时，危害度和失效概率很相近。 在失效率或者失效频度是变化的情况下，应计算失效发生概率，而不是基于失效率恒定的假设 害度

GB/T78262012/IEC60812:2006

危害性可以用危害性矩阵表征，如图3所示。应该注意的是，危害性并没有统一的定义，但是，分析 人员需对其定义，并得到项目或程序管理者认可。不同领域对危害度的定义差异很大。

如图3所示，严醋度等级随着X轴方向的递增顺序增大，数值IV表示严醋度最大（人员生命丧失、 损害和/或任务、运行失败、受损），Y轴表示发生的可能性，也是按递增顺序排列的。如果最高发生概率 不超过0.2，发生概率与危害度大致相等。一个常见的危害性矩阵有如下标度： a 危害度等级为1或E，几乎不可能，发生概率：0≤P，<0.001 b）危害度等级为2或D，可能性很小，发生概率：0.001≤P,<0.01 c）危害度等级为3或C，偶尔发生，发生概率：0.01≤P，<0.1 d）危害度等级为4或B，很有可能发生，发生概率：0.1≤P，<0.2 e 危害度等级为5或A，经常发生，发生概率：大于P≥0.2 图3只是个例子，其他方法中，可能用不同的标记和不同的定义来表示危害度或严醋度。 本例中，失效模式1发生的可能性比失效模式2更高，但失效模式2的严度却较高。确定何种失 效模式为更高的优先级的依据是严醋度和发生概率等级的尺度及其排序。在线性尺度下（是危害性矩 阵通常采用的），失效模式1比失效模式2有更高的危害度（或发生概率）。在严酷度比发生概率有更绝 对的优先权的情况下，失效模式2是较为严重的失效模式。另一个明显的现象是只有在同一个系统的 约定层次中，各失效模式在危害度矩阵中进行比较分析才有意义。这是因为，在低复杂系统中，较低层 次失效模式往往也有较低的发生概率。 如前所述，危害性矩阵（如图3所示）可应用于定性或定量分析。

5.3.5风险可接受度评估

当要求的最终分析结果是一个危害性矩阵时，这一 矩阵可用由产酷度和事件发生赖率构 来表示。风险可接受度可定性定义，并受专业水平和财务决策影响，在不同的应用领域中也不 给出了风险可接受度等级的例子和一个修正的危害性矩阵。

GB/T7826—2012/IEC60812:2006

826—2012/IEC60812.2

表3风险/危害度矩阻

5.3.6有等级尺度的 FMECA类型

5.3.2中描述的FMECA普遍用于汽车工业的产品设计分析，以及这些产品的生产过程分析。 分析方法与通常形式的FMEA/FMECA所描述的一样，只是为严醋度S、发生频度O、可探测 置的3个表格不同。

5.3.6.1备选的严醋度确定方法

一个主要应用在汽车工业中的严酷度等级分类的

注：来自于SAEJ1793， 将汽车看作系统，从系统的要求、目的和强制性等方面出发，根据失效对整个系统性能和安全性影 响的严重性，给每种失效模式的失效影响确定一个严醋度等级。这在FMECA表格中大多容易完成。 根据表4，如果失效模式的严醋度值在6以上，可以很客观地确定其严醋度等级；而对严醋度值在3～5 之间的失效模式，其严酷度的确定可能就要主观些

3.6.2备选发生度的

了一个对发生度进行定性度量的例子，这种方法

GB/T78262012/IEC60812.2006

表5与发生概率和频度相关的失效模式发生度

5.3.6.3失效可探测度等级

在RPN概念中，应对探测到的失效可能性进行评估。也就是，设计特性/辅助工具或验证过程能 够及时探测潜在失效模式的可能性，防止系统级失效发生。在过程应用中（过程FMEA或PFMEA）， 可探测度指在失效传递到下道工序或最终产品输出前，一整套的现场过程控制能探测到失效并将其隔 离的可能性。 对一些在不同系统和应用中使用的通用产品，可探测度也许很难估算。 表6给出了应用在汽车工业中的可探测度评估标准的一种确定方法。

表6失效模式可探测度评估标准

GB/T7826—2012/IEC60812:2006

注：摘自AIAG.潜在失效模式和影响分析.FMEA.第3

5. 3. 6.4风险评估

5.4.1报告的范围和内容

FMEA分析报告可以包含在一个很大的研究项目中，也可以独立出来。无论何种情况，报告 该包括详细的分析记录和总结以及定义系统结构的功能图和框图。同时，报告应该包括FMEA 图表清单（包括版本状况）

5. 4. 2 影响汇总

通过FMEA分析突显出来的系统失效影响，应编制出失效影响清单。表7给出了汽车发动机和 典型失效影响。

表7失效影响的示例（汽车发动机）

为了确定所列失效影响引发系统失效的概率，以及确立补偿或预防措施的优先次序，可能需要进 影响汇总。失效影响汇总应该基于最终失效影响列表清单，并应该包含产生每失效影响的失效 详细资料。针对产品预定时间段内的用途以及预期的使用剖面和应力，计算每种失效模式的发 。表8是失效影响汇总的例子。

表 8 失效影响概率示例

注：该表可以针对产品或系统的其他定性和定量排序创建

[6. 1 共因失效

某个原因在系统的几个部件上同时产生缺陷导致系统性能退化或失效，例如设计失误（如不适当的元器 件降额）、环境应力（如闪电）或人为错误等。 共因失效（CCF)不符合FMEA中各失效模式不相关的基本假设。共因失效将引起一个以上的产 品同时失效，或者在相当短的时间内发生，具有同时失效的效果。 一般来说，共因失效的原因包括： a）设计：软件、额定值； b）制造：与生产批相关的元部件缺陷

C厂环境：电气干扰、温度循环、振动； d）人的因素：不规范的操作或维修活动。 因此，在对用允余保持功能或个别产品备份减轻失效事件影响的系统进行FMEA时，应考虑 效的可能来源。 逻辑结构上的相互依赖，造成两个或多个组件同时处于失效状态，共因失效是该事件的后果 由主要失效影响引发的从属失效）。共因失效可出现在具有相同失效模式和缺陷的相同部件上 部件用在系统（可能有允余的）不同组件中；这种情况下，允余是无效的。 可用FMEA定性分析共因失效，但FMEA充分分析共因失效的能力非常有限、FMEA是

6.4FMEA涉及的系统失效后果

GB/T7826—2012/IEC60812.2006

Z.1FMEA/FMECA的作用

FMEA是一种主要用于研究材料和设备失效的方法，能应用于不同技术（电的、机械的和液压传动 的等)及多种技术组合而成的各种系统。同时，FMEA可有效地应用于设备的某个特殊部件、系统或者 整个项目。 当软件和人的行为与系统的可信性相关时，FMEA也应考虑包括这些因素。FMEA可以是研究不 同过程（医药，实验室、制造业、发展、教育等）的一种通用方法，这时通常称为过程FMEA或PFMEA。 当开展过程FMEA时，总是从过程最终目的或某个过程的目标出发，将过程中的每个步骤看作是过程 中下一步骤或过程的最终目标产生不期望输出的潜在原因。

7.1. 1 FMEA 在项且中的应用

使用FMEA时，应明确为了什么目的以及如何在自已的技术领域中开展FMEA。FMEA可以单 独使用，也可以作为其他可靠性分析方法的补充和支撑。FMEA的需求来自于明确硬件行为特性及其 对系统或设备运行相关性。不同项目对FMEA的需要可能会有很大差别。 FMEA支持设计评审，并应尽早在系统和子系统的设计阶段加以采用。FMEA适用于系统设计的 所有层次，但最适用于包含大量项目或/和功能复杂的较低层次。对FMEA人员进行专业培训很重要， 并且他们应与系统工程人员和设计人员密切合作。随着项目的进展且设计有修改时，FMEA应进行更 新。在项目结束阶段，FMEA被用来检查设计，这对证实系统设计是否符合标准、规则以及用户需求非 常重要。 从FMEA中获得的信息，可识别生产和安装期间的统计过程控制、抽样、检验，以及鉴定、批准、接 收和首次试验的重点。FMEA还能为工作手册中的诊断和维护程序提供重要信息。 在确定项目或设计应用FMEA的范围和方式时，应重点考虑需要FMEA结果的特定目的、与其他 活动在时间上的配合、建立预先确定等级的预警以及对于不期望发生的失效模式和影响控制措施。这 样就可获得在特定等级上（系统、子系统、单元、部件等）的定性FMEA计划，并与反复的设计和开发过 程联系起来。 为保证实施的有效性，应在可信性大纲中明确FMEA的地位，并从时间、人力以及其他需要的资源 方面给予保证。另外，很重要的一点是不能为了节约时间和资金而删减FMEA工作。如果时间不足且 缺乏资金，FMEA应集中于那些采用了新的设计或将以新的方式使用的部分。FMEA也可以直接对通 过其他分析方法确定的关键部分进行分析。

用于过程时，执行PFMEA要求如下： a） 清晰定义过程目标；当过程复杂时，过程目标可以分解为过程的总目标或产品、过程序列或步 骤的目标或产品，或是单独过程或步骤的产品； b）了解过程中的每个独立步骤； c）了解每个过程步骤的潜在缺陷； d）了解每个单独缺陷（潜在失效）可能对过程产品的影响； e）了解每个缺陷或潜在过程失效/故障的潜在原因。 如果一个过程有超过一种产品输出，可对特定的产品进行分析。也就是说，PFMEA可用于个别产 品，也可以从各个步骤和潜在的不期望输出方面对过程进行分析，这就是一般意义上的PFMEA，而不 考虑个别类型的产品。

GB/T7826—2012/IEC60812:2006附录A和附录B给出了FMEA/FMECA程序概要和示例。7.2FMEA的益处FMEA的应用效益：a）通过发现早期的设计缺陷，节省设计更改成本（通过设计缺陷的早期认定，避免昂贵的设计更改)。b）确定单独或联合失效对系统产生的影响，并明确对系统或操作产生较大影响的失效模式。当失效单独或同时发生时，识别那些会产生不期望或严重影响的失效，并确定可能预期或必要运行产生严重影响的失效模式注1：此类影响可能会包括从属失效。c)确定可靠性改进的设计需求（元余、工作应力、失效保护元器件选用及降额等）。d）提供一个逻辑模型，以评估系统不正常运行条件发生的概率或比率，为危害性分析做准备。e）揭示安全性和产品责任问题的范围或与规程要求的不符合性注2：当对安全性要求有经常的、单独研究时，不可避免会出现重叠现象，采取合作的方式进行比较好。f）确保升开发过程试验程序能检测到潜在的失效模式g） 确定对系统进行质量控制、监测和制造过程控制的相关关键环h）确定股性预防维修策略和计划的各个方i)促进或支持测试标准、测试计划和诊断程序的确定,例如性能测试和可靠性试验。ji)支持故障隔离顺序的设计并支持备洗工作模式k)助设计者明确影响系可靠性的因1)提供最终的文档（包括其满盖的范围），证明设计中已考惠了在使用阶段要满足规范的要求（这在产品质保方面尤其重要）7.3FMEA的局限与不足对导致整个系统或系生非常有效。但是，当系统非常复杂、其具有多种功能且由不同的子系统组成时，进行FMEA除需考虑大量详细的系统信息外，还需考虑存在的很多可能的工作模式以及维修和维护方针，这使得FMEA很困难并且繁项。如果不能明智应用,FMEA可能是耗力且无效的。因此，应明确FMEA的分析结果对随后进行的其他分析的作用。不能不加选择地将FMEA列人规范要求中。如果系统采用了允余设计，当试图跨越分级结构中的若干层次进行FMEA时，就可能使分析复杂化、容易产生误解甚至错误。FMEA的重要假设是各失效模式相互独立。因此，独立的失效模式之间，或失效模式组合之间，或失效原因之间的相互关系在FMEA中不能有效地体现出来。尤其在软件及硬件相互作用的系统中，该假设不成立，FMEA的这种缺陷就更加明显。当需增加考虑人与硬件的相互作用并建立他们之间相互依赖的模型时，也会遇到同类困难。有时，当另一个失效模式的结果存在时，某个失效模式可能会产生严重的后果；而当它们分开独立考虑时，失效模式产生严重后果的可能性则很小，这时失效模式相互独立的假设会使得识别此类失效模式比较困难。结合故障树分析（FTA)（见GB/T7829一2012)的失效模式分析方法，可较好地建立这种有相互作用关系的模型。所以，在分级结构中，FMEA最好只限定于连接两个层次。如识别部件的失效模式并确定它们对设备的影响，这就是一件相对简单的任务。这些影响又将成为上一层次如模块的失效模式，如此等等。虽说如此，成功应用于多层次系统的FMEA也屡见不鲜。FMEA的另一个缺陷是不能定量评估整个系统的可靠性，也正因为如此，其也无法为设计改进或折中优化提供量化评估。21

建筑标准规范范本7. 4 与其他方法的关系

GB/T7826—2012/IEC60812:2006

附录A （资料性附录） FMEA和FMECA的程序概要

FMEA分析程序的步骤如下： a）确定FMEA或FMECA的必要性； b） 定义分析系统的边界条件； c) 明确系统要求和功能； d）定义失效的判定标准； e）定义每个产品的失效模式和失效影响并记录； f)归纳每种失效影响； g）报告结论。 FMECA分析应增加的一些步骤： h）定义系统的严酯度等级； i 确定产品失效模式严醋度； j 确定产品失效模式和影响频率； k) 确定失效模式发生频度； 1) 绘制产品失效模式的危害性矩阵： m）从危害性矩阵中归纳失效影响的危害程度； n) 绘制产品失效影响的危害性矩阵； o）报告系统各层次FMECA分析的结论。 注：在FMEA中对失效模式和影响概率的量化可以在FMEA的最后执行步骤h、i和j完成。

A.2.1 工作表范围

作表也可剪裁，以适合应用和项目需求 一个FMEA工作表的例子。

表格的表头部分记录以下信息： a）系统栏，即分析的最终产品栏，用来标识分析的最终产品，该标识确定分析最终影响的对象。 该标识应该与框图、图表或其他插图中使用的术语一致。 b）为分析而假定的系统工作模式。 c）与分析产品相关的产品（模块、零件或元部件）。 d）分析表的修订版本照明标准规范范本，日期和调整FMEA的分析人员姓名，以及为文档控制提供附加信息的核 心成员。

进行索引，“产品功能描述栏”中简要说明产品的功能。 在“失效模式”栏内，列出产品可能的失效模式。5.2.3提供了确定潜在失效模式的指导。对每种 失效模式输人唯一的“失效模式编码”，方便总结分析结果。 在“可能的失效原因”栏目内，列出最有可能导致失效模式的原因。 在“局部影响”栏目内，列出所分析失效模式对产品影响的简要说明。在“最终影响”栏目内，列出类 似的相关信息，并指出失效模式对最终产品的影响。在一些FMEA分析中，可能希望在中间层次上评 价失效影响。在这种情况下，增加一个栏目“更高层组件”，列出失效模式对高一层组件的影响。失效模 式影响评估在5.2.5中进深人讨论， 在“探测方法”栏中，简要描述如何操测失效模式。探测方法可以由基于机内测试设计的自动化探 测系统自动完成，也可能需要由工作或维护人员来完成诊断程序。确定操测方法十分重要，这样才能确 保分析人员明确相应的纠正措施。 在“补偿措施”栏目内，说明可用于减轻失效模式的设计特性，例如亢余设计。具体维护或操作活动 所提供的补偿也应在此说明。 在“严醋度等级”栏目内，列出由FMEA分析人员确定的严醋度等级。 在“发生概率”栏目内，列出失效模式的发生概率。概率尺度可以改变，以适合实际应用。（例如：每 百万小时失效数、单位运行距离失效数即每千公里失效数，等等。） 在“备注”栏内，列出分析人员的观点和建议，如5.3.4所述，