工业自动化的急剧增长导致操作人员与自动化机器之间会发生不可预见的交互。工程师有责任实施适当且经常重叠的安全措施，以避免生产中断、伤害甚至死亡的各种后果。工厂的安全环境是一个多方面的问题，需要组织各个层面的关注，应该从工厂底层开始到管理层。理想情况下，从一开始就需设计一个安全的工厂，但许多工厂早于自动化的广泛采用，包括使用工业物联网（IIoT）、人工智能和其他工业4.0技术。功能安全已成为开发人员不可或缺的一部分，因为它可以避免系统故障、预测其影响或减轻未知风险，并改变工程师对设计系统的思维方式。

什么是FMEA？

FMEA，即Failure Mode and Effects Analysis，是在产品设计阶段和过程设计阶段，对构成产品、设备的子系统、零件，以及构成过程的各个工序逐一进行分析，找出所有潜在的失效模式，并分析其可能的后果，从而预先采取必要的措施，以提高产品或设备的质量和可靠性的一种系统化的活动。


(资料图片仅供参考)

通常，产品开发和流程运营工程师会执行“故障模式和影响分析（FMEA）”，以根据严重性和概率分析系统中的潜在故障风险。这是基于类似产品或运营的经验，其目的是从系统中排除已识别的故障，从而最大限度地降低相关风险。FMEA将术语“故障模式”定义为识别设计或运营中的潜在或实际缺陷，重点关注那些影响最终用户的缺陷，而“故障影响”则是由操作员感知的产品或系统功能故障模式的结果。

故障的影响可以根据最终用户的感知和体验来解释。对已识别故障的调查结果称为影响分析。FMEA根据故障的严重性、频率和可检测性对故障进行优先级排序。FMEA还包含有关当前残疾风险的知识文件，并力求降低所有级别的风险。因此，优先采取措施以防止故障，或者至少降低故障的严重性和发生的可能性。这反过来又有助于定义和选择修复以减轻故障的影响和后果。在FMEA中，图2所示的7步法可用于从初始设计和概念阶段到开发和测试过程，以及在整个产品或系统生命周期中控制连续操作过程。

图2. FMEA方法（来源:2019年AIAG和VDA FMEA手册）

通过遵守功能安全标准IEC 61508，成为保障自主系统各项功能安全的基准。如图3所示，广泛的功能安全系统开发在不同的开发验证阶段进行：简介/概念阶段，包括规范审查；详细的设计/测试阶段，包括功能评估；以及主要的认证阶段，包括第三方检验和验证。整个流程有常规开发所不具备的技术要求和流程。

什么是FTA？

FTA 故障树分析（Fault Tree Analysis），是一种自上向下的可靠性分析方法，从需要分析的事件（顶事件）开始，作为故障树的根，逐步向下追查导致事件发生的原因直到基本事件（底时间），是一种特殊的倒立树状逻辑因果关系图，用事件符号，逻辑门符号和转移符号描述系统中各种事件之间的因果关系。

结合功能安全ISO26262和GBT 34590，分析相关项和要素的故障和失效时，FTA和FMEA是最常用的两种技术。FMEA通常以归纳（自下而上，见图3）的方式执行，重点关注系统的各个部分、如何失效以及这些失效对系统的影响。FTA通常以演绎（自上而下，见图 4）的方式执行，从非预期的系统行为到确定导致该行为的可能原因。FTA包含覆盖了所有可能导致违反某个危害事件的多个故障和事件或情况的组合，而FMEA考虑每个单一故障的影响。

图3 FEMA图解，自下而上方法

图4 FTA图解 自上而下方法

FEMA和FTA关系与差别

在某些情况下，这两种方法都可以在不同的细节层面上执行。一种典型的分析方法是使用FTA把危害分析到组件层面。然后使用FMEA自下而上的分析所有组件的失效模式，以确定它们的失效模式和安全机制来完成故障树的底层事件，期望通过这种方法来避免因为FTA模型和FMEA重叠导致的重复工作。由此更倾向于将一系列的系统元器件的FMEA结果做为底事件失效率提供给故障树模型。

ISO26262和GBT34590 中第10部分，附录A中也有提及这部分内容。

成功实施FMEA，时间性是最重要因素之一，它是一个“事前行为”，而不是“事后练习”。为达到最佳效益，FMEA的应用一定要注意时机，它必须在产品或过程的设计和开发完成之前进行和完成。在实施FMEA的过程中，应注意以下问题；

(1) FMEA工作应与产品的设计同步进行，尤其应在设计的早期阶段就开始进行FMEA，这将有助于及时发现设计中的薄弱环节并为安排改进措施的先后顺序提供依据。

(2) 对产品研制的不同阶段，应进行不同程度、不同层次的FMEA。也就是说，FMEA应及时反映设计、工艺上的变化，并随着研制阶段的展开而不断补充、完善和反复迭代。

(3)FMEA工作应由设计人员负责完成，贯彻“谁设计、谁分析”的原则，这是因为设计人员对自己设计的产品最了解。

(4) FMEA分析中应加强规范化工作，以保证产品FMEA的分析结果具有可比性。开始分析复杂系统前，应统一制定FMEA的规范要求，结合系统特点，对FMEA中的分析约定层次、失效判据、严酷度与危害度定义、分析表格、失效率数据源和分析报告要求等均应作统一规定及必要说明。

(5)应对FMEA的结果进行跟踪与分析，以验证其正确性和改进措施的有效性。这种跟踪分析的过程，也是逐步积累FMEA工程经验的过程。一套完整的FMEA资料，是各方面经验的总结，是宝贵的工程财富，应当不断积累并归档，以备查考。

(6 )FMEA虽然是有效的分析方法，但并非万能。它不能代替其它的可靠性分析工作。应该特别注意，FMEA一般是静态的单一因素分析法，在动态分析方面还不完善，若对系统实施全面的分析还应与其他分析方法相结合。

FTA故障树分析的特点包括：

(1) 故障树分析是一种图形演绎法。是故障事件在一定条件下的逻辑推理方法。它不局限于对系统作一般的可靠性分析，它可以围绕一个或一些特定的失效状态，作层层追踪分析。因而，在清晰的故障树图形下，表达了系统故障事件的内在联系，并指出了单元故障与系统故障之间的逻辑关系；

(2)由于故障树能把系统故障的各种可能因素联系起来，因此，有利于提高系统的可靠性，找出系统的薄弱环节和系统的故障谱；

(3)故障树可以作为管理人员及维修人员的一个形象的管理、维修指南，因此，用来培训长期使用大型复杂系统的人员更有意义；

(4)通过故障树可以定量的求出复杂系统的失效概率和其他可靠性特征量，为改进和评估系统的可靠性提供定量数据；

(5)故障树分析的发展与电子计算机技术的发展紧密相联，图像信息技术 也已经应用在故障树分析中，因此，编制计算程序是故障树分析中不可缺少的一部分；

(6)故障树分析的理论基础，除概率论和数理统计外，布尔代数及可靠性数学中用到的数学基础同样应用于故障村分析的定量分析中；

(7)故障树分析方法不仅应用于解决工程技术问题，而且开始应用于经济管理的系统工程之中；

(8)故障树分析首先需要建树，建树过程复杂，需要经验丰富的工程技术人员、操作及维修人员参加，而且不同的人所建造的故障树不会完全相同；

(9)系统越复杂，建树越困难，耗时越长；

(10)数据收集困难。

功能安全系统需要进行故障诊断，以避免硬件故障导致安全功能无法正常运行。除了检测单个设备故障（永久性故障），故障诊断还必须检测运行期间由辐射、噪声等引起的软错误故障（瞬时故障），并立即转入安全运行，例如在出现异常时停止电机。单个设备的故障诊断需要分析每个设备的故障模式，检查故障检测方法以检测这些模式，并根据该检测方法定义故障检测率（诊断率）。还需要使用系统功能来检测软错误，例如监控程序执行序列，或使用冗余MCU进行相互比较，以确保安全。

来源：瑞萨MCU小百科、知乎等

关键词： 干货｜详解功能安全分析技术FEMA和FTA关系与差别