摘要
本篇文章介紹了失效模式、影響和診斷分析的歷史、發(fā)展和未來(lái)。指出了它與IEC61508之間的關(guān)系。
關(guān)鍵字
失效模式影響和診斷分析，失效模式影響分析，失效模式影響和危險(xiǎn)程度分析
ABSTRACT
This article presents the history, development and future of Failure Modes Effects and Diagnostic Analysis (FMEDA). It also points out the relations between FMEDA and IEC 61508.
KEYWORDS
FMEDA, FMEA, FMECA
引言
字母組合FMEDA是一組英文字頭的縮寫，表示“失效模式影響和診斷分析”（Failure Modes Effects and Diagnostic Analysis）。這個(gè)名字是由一位作者于1994年開(kāi)始使用的，用來(lái)描述一項(xiàng)從1988年以來(lái)不斷發(fā)展的系統(tǒng)分析技術(shù)， 這項(xiàng)技術(shù)可以獲得子系統(tǒng)/產(chǎn)品等級(jí)的失效率、失效模式和診斷能力（圖1）。
圖1: FMEDA 輸入和輸出
FMEDA 技術(shù)考慮的是：
? 一個(gè)設(shè)計(jì)產(chǎn)品的所有部件；
? 每個(gè)部件的功能；
? 每個(gè)部件的失效模式；
? 每個(gè)部件失效模式對(duì)產(chǎn)品功能的影響；
? 自動(dòng)診斷和檢測(cè)失效的能力；
? 設(shè)計(jì)增強(qiáng)（降低失效，提高安全）和
? 運(yùn)行規(guī)范（環(huán)境強(qiáng)調(diào)因數(shù)）。
如果每個(gè)部件的數(shù)據(jù)庫(kù)都比較精確，那么就可以用這種方法得出產(chǎn)品等級(jí)的失效率和失效模式數(shù)據(jù)，這比用現(xiàn)場(chǎng)產(chǎn)品返回分析和典型現(xiàn)場(chǎng)失效分析的方法更加精確。
FMEDA 是對(duì)獲得良好驗(yàn)證的 FMEA（失效模式影響分析）技術(shù)的一種延伸，即可以用于電氣產(chǎn)品，也可以用于機(jī)械產(chǎn)品。
FMEA/FMECA
失效模式和影響分析，F(xiàn)MEA，是對(duì)一個(gè)系統(tǒng)、子系統(tǒng)、過(guò)程、設(shè)計(jì)或者功能的一種結(jié)構(gòu)化的定性分析，用于確定潛在的失效模式、它們產(chǎn)生的原因和它們對(duì)運(yùn)行（系統(tǒng)）的影響。
建立 FMEA 的概念和實(shí)施 FMEA 的實(shí)踐大約是在上世紀(jì)的60年代。第一次正式的實(shí)施是在70年代，隨著美國(guó)軍用標(biāo)準(zhǔn)STD 1629/1629A的制定而實(shí)行。
在早期的實(shí)踐中，F(xiàn)MEA 僅限于因失效而造成較大損失的應(yīng)用和行業(yè)。主要的工作是對(duì)一個(gè)系統(tǒng)的安全質(zhì)量進(jìn)行評(píng)估，決定不能接受的失效模式，指出可以改進(jìn)的設(shè)計(jì)，編制維護(hù)工作計(jì)劃，并且?guī)椭脩袅私庀到y(tǒng)在可能失效時(shí)的運(yùn)行情況。
失效模式、影響和危險(xiǎn)程度分析，F(xiàn)MECA，是針對(duì)一個(gè)明確的 FMEA 結(jié)果以及加上危險(xiǎn)程度的度量，從而引入對(duì)影響進(jìn)行基本的隔離。這樣的分析使用戶對(duì)結(jié)果而言，可以聚焦于最嚴(yán)重的失效模式和影響，但這里并沒(méi)有提出失效模式的可能性或者概率，而這正是非常重要的指標(biāo)，因?yàn)榛诨ㄙM(fèi)和收效的比值才是驅(qū)動(dòng)改進(jìn)的最直接動(dòng)力。
FMEDA的發(fā)展
失效模式、影響和診斷分析，F(xiàn)MEDA，在80年代后期得到了快速發(fā)展，這是基于在1984年召開(kāi)的一次研討會(huì)中的報(bào)告。FMEDA 在 FMEA 的基礎(chǔ)上新加入了兩部分內(nèi)容。加入的第一個(gè)內(nèi)容是：對(duì)所有要分析的部件給出定量的失效數(shù)據(jù)（失效率和失效模式分布）。加入的第二個(gè)內(nèi)容是：系統(tǒng)或者子系統(tǒng)提供自動(dòng)在線診斷發(fā)現(xiàn)內(nèi)部失效的能力。為了達(dá)到和維持可靠性，這是決定性的指標(biāo)。這也使系統(tǒng)增加了復(fù)雜性，甚至在一般環(huán)境下不可能對(duì)所有功能進(jìn)行測(cè)試，比如一種低要求運(yùn)行模式的緊急剎車系統(tǒng)，ESD系統(tǒng)。
對(duì)自動(dòng)診斷能力的測(cè)量要有一個(gè)清晰的要求，這在80年代后期達(dá)成了共識(shí)。現(xiàn)在的FMEDA 基本原則和方法，是通過(guò)《評(píng)估控制系統(tǒng)的可靠性》這本書(shū)，第一次介紹給公眾。實(shí)際上，術(shù)語(yǔ) FMEDA 在1994年才首次使用，方法也是在90年代后期做了進(jìn)一步地完善。FMEDA 技術(shù)再進(jìn)一步的演化是在2000年初，在制定 IEC 61508 準(zhǔn)備工作的時(shí)候。
主要改進(jìn)的方面有：
1. IEC 61508 失效模式定義 – 新定義；
2. 功能失效模式；
3. 機(jī)械部件的使用。
有了這些改進(jìn)，使得 FMEDA技術(shù)更加成熟，成為更完整和更有用的方法。
[DividePage:NextPage]
FMEDA – IEC 61508
IEC 61508 標(biāo)準(zhǔn)正式地認(rèn)可 FMEDA 技術(shù)，大多數(shù) IEC 61508 評(píng)估機(jī)構(gòu)使用FMEDA 的結(jié)果去核實(shí)一個(gè)特定的應(yīng)用是否達(dá)到了安全的要求。在功能安全領(lǐng)域，可以通過(guò)使用 FMEDA 技術(shù)和對(duì)產(chǎn)生結(jié)果的解釋，來(lái)幫助用戶改進(jìn)系統(tǒng)的安全失效模式。
在正式通過(guò)的 IEC 61508部分2－2000年版的文本中，給出了功能安全領(lǐng)域里對(duì) FMEDA 的期望是什么，以及怎樣使用相關(guān)數(shù)據(jù)。這導(dǎo)致了在相關(guān)的工業(yè)企業(yè)中，增加了對(duì)FMEDA的使用，加快了方法和工具的更新，以及對(duì)部件水平的失效率和失效模式數(shù)據(jù)的需求。
在 IEC 61508中，使用 FMEDA 要完成兩個(gè)安全完整性等級(jí)的測(cè)量；即：危險(xiǎn)非檢出型失效率和眾所周知的安全失效分?jǐn)?shù)，即SFF。SFF代表不危險(xiǎn)和能檢出的失效百分比。然而，這個(gè)對(duì)于系統(tǒng)級(jí)模型非常重要的定量型數(shù)據(jù)，也可以從同一個(gè) FMEDA 容易地導(dǎo)出，這比 IEC61508最初的方法更有效，F(xiàn)MEDA 驅(qū)使流程的進(jìn)一步進(jìn)化，并且提高了其結(jié)果的價(jià)值。IEC 61508標(biāo)準(zhǔn)的未來(lái)草稿更新工作正在進(jìn)行，會(huì)做進(jìn)一步的改進(jìn)。
IEC 61508 失效模式定義
IEC61508 部分（1998年）定義一個(gè)危險(xiǎn)失效是一種失效，“有可能把安全相關(guān)系統(tǒng)推向危險(xiǎn)或者不能工作的狀態(tài)”。這個(gè)標(biāo)準(zhǔn)還定義一個(gè)安全失效也是一種失效，“無(wú)可能把安全相關(guān)系統(tǒng)推向危險(xiǎn)或者不能工作的狀態(tài)” 。IEC61508 部分2 進(jìn)一步解釋了“安全”失效是一種失效，引起一次安全的停車或者對(duì)電氣/電子/可編程電子安全相關(guān)系統(tǒng)的安全完整性沒(méi)有影響。
如果遵循這個(gè)看似簡(jiǎn)單而模棱兩可的安全失效定義，理論上導(dǎo)致了不需要提供與應(yīng)用非常相關(guān)數(shù)據(jù)，并且導(dǎo)致了多種對(duì)標(biāo)準(zhǔn)不可預(yù)期的解釋。一些解釋可能導(dǎo)致無(wú)意識(shí)的環(huán)套，結(jié)果使產(chǎn)品增加了非相關(guān)功能，提高了SFF指標(biāo)，而沒(méi)有提高任何安全完整性。
新失效模式的定義
在工業(yè)領(lǐng)域的重要廠商，包括羅克韋爾自動(dòng)化，致力于功能安全產(chǎn)品的不斷改進(jìn)，忠實(shí)于 IEC61508 的原內(nèi)容，對(duì)失效模式定義提出了很多改良，并開(kāi)始使用2003年的新定義用于FMEDA分析。更詳細(xì)的失效模式定義會(huì)在后續(xù)的IEC 61508 版本中體現(xiàn)出來(lái)。為了理解所需的變化，必須首先要明白當(dāng)前官方定義“安全失效”的模棱兩可。
因?yàn)楝F(xiàn)在定義的安全失效包括所有失效而沒(méi)有考慮危險(xiǎn)。這包括“失效會(huì)導(dǎo)致一次安全剎車或者對(duì)電氣/電子/可編程電子安全相關(guān)系統(tǒng)的安全完整性沒(méi)有影響”。一種失效對(duì)安全完整性功能沒(méi)有影響，非常像對(duì)使用產(chǎn)品的用戶甚至沒(méi)有一點(diǎn)提示，這種失效可以納入到兩種通用類型當(dāng)中。
無(wú)影響 – 類型 1, 不受影響
大多數(shù)部件有多種失效模式，這些失效模式或重要或不重要，重要性取決于在特定的設(shè)計(jì)中怎樣地使用它們。比如一個(gè)電阻在開(kāi)路和短路失效時(shí)，失效模式包括了它的值從原始量的一半到兩倍的變化。如果這個(gè)電阻用于一個(gè)模擬電路的一部分，監(jiān)視一個(gè)特定電壓或者電流的等級(jí)，這個(gè)漂移的失效模式會(huì)直接導(dǎo)致測(cè)量的明顯錯(cuò)誤，并且看上去是非常的危險(xiǎn)。
如果同樣的電阻串聯(lián)到一個(gè)晶體管的基極，最后驅(qū)動(dòng)一個(gè)繼電器的線圈。即使電阻值漂移超過(guò)這個(gè)相對(duì)寬的范圍，產(chǎn)品也能連續(xù)工作，并且產(chǎn)生輸出狀態(tài)。在這個(gè)應(yīng)用中，電阻值的漂移沒(méi)有影響產(chǎn)品的功能。因此，這種失效模式被稱為“無(wú)影響”模式，因?yàn)椋m然部件是所需功能的一部分，這種特定失效模式?jīng)]有影響到所需的功能。如果這個(gè)電阻失效開(kāi)路，就會(huì)影響到產(chǎn)品的功能。所以，部件的所有失效模式都不能被忽略。
無(wú)影響 – 類型 2, 不是一部分
有些部件的目的是用于人機(jī)界面的顯示和輔助功能，它們不是產(chǎn)品中功能電路的一部分，而是在應(yīng)用中需要的。比如一個(gè)電阻可以用于設(shè)置一個(gè)電流水平，當(dāng)進(jìn)行通信時(shí)，使一個(gè)顯示LED燈點(diǎn)亮，因此在通信處于激活狀態(tài)時(shí)，我們就能夠看到燈亮。如果這個(gè)電阻失效，那么在通信進(jìn)行時(shí)，這個(gè)LED燈就不會(huì)亮起，但它不會(huì)影響這個(gè)產(chǎn)品的正常工作。事實(shí)上，這個(gè)電阻的任何失效模式看起來(lái)都不會(huì)影響這個(gè)產(chǎn)品的功能和性能。這類部件被稱為“不是一部分” ，因?yàn)樗鼈儾粓?zhí)行所需功能的一部分。
“安全”失效的新定義
注意所謂“不影響”是相對(duì)于一個(gè)部件的特定失效模式，也就是用于所需的功能（或者那部分的其他失效模式將導(dǎo)致功能的丟失）；“不是一部分”是相對(duì)于一個(gè)整體部件是不必要的，或者是用于執(zhí)行應(yīng)用的其他功能，但兩者在當(dāng)今的IEC61508 定義中都被認(rèn)為是“安全”的。
在一個(gè)安全系統(tǒng)的環(huán)境中，一個(gè)非常有用和不模糊的安全失效定義會(huì)導(dǎo)致一個(gè)故障動(dòng)作（在沒(méi)有容錯(cuò)結(jié)構(gòu)的情況下），這個(gè)動(dòng)作明顯和危險(xiǎn)失效動(dòng)作是相反的（失效執(zhí)行安全功能或者在需要時(shí)出現(xiàn)動(dòng)作失能）。這種 “安全” 的定義也增加了一個(gè)對(duì)安全產(chǎn)品評(píng)估故障動(dòng)作率的數(shù)據(jù)，這對(duì)產(chǎn)品的潛在用戶也是非常重要的參數(shù)，因?yàn)樗鼤?huì)導(dǎo)致生產(chǎn)率降低，并且可能引發(fā)另一個(gè)危險(xiǎn)事件產(chǎn)生。
安全失效分?jǐn)?shù)計(jì)算
剩下的問(wèn)題是在計(jì)算SFF中怎樣使用“無(wú)影響”和“不是一部分”失效率（或者不使用）。最保守的方法是在計(jì)算時(shí)排除這兩者，給產(chǎn)品提供一個(gè)最低的SFF估計(jì)。這種方法僅考慮安全和危險(xiǎn)失效對(duì)需要安全功能的直接影響。保守的供應(yīng)商使用這種策略，使用的時(shí)間周期大概在2000年到2002年之間。
非常清楚，不好的策略來(lái)計(jì)算“不是一部分”失效是“安全”的。這是因?yàn)橐粋€(gè)產(chǎn)品設(shè)計(jì)者用一種近似特定的SFF門檻來(lái)設(shè)計(jì)，可能加入額外部件達(dá)到了那個(gè)門檻，但這些部件沒(méi)有使安全功能得到提高。
大約在2003年左右，這個(gè)領(lǐng)域里的主要工業(yè)專家們一致同意，決定把初始的“安全失效”加入“無(wú)影響”，但排除“不是一部分”做為安全失效的新定義。最后的結(jié)果是：在新定義的安全失效中，“無(wú)影響”失效用在計(jì)算SFF的安全失效部分，“不是一部分”失效率不包括在相關(guān)的安全計(jì)算中。FMEDA 結(jié)果報(bào)告開(kāi)始大量出版，用于附加失效率的類型。
[DividePage:NextPage]
這個(gè)變化的結(jié)果是FMEDA報(bào)告總體失效率，代表了所有部件的總的失效率，甚至有些失效率不會(huì)導(dǎo)致在產(chǎn)品級(jí)可以觀察得到的失效。在產(chǎn)品級(jí)可看到的失效率是可預(yù)計(jì)的，用整體失效率減去無(wú)影響失效率，因?yàn)闊o(wú)影響失效在多數(shù)情況下，在獨(dú)立部件的完整參數(shù)測(cè)試時(shí)就能找到。
功能失效模式分析
也在2000年早期，功能失效模式分析加入到FMEDA過(guò)程。在早期的FMEDA工作中，部件失效模式依照IEC 61508應(yīng)直接映射到“安全”或者“危險(xiǎn)”類型。 這相對(duì)來(lái)說(shuō)比較容易，因?yàn)槊考虑椴皇恰拔ｋU(xiǎn)”就是“安全”。現(xiàn)在則有多種失效模式類型，直接指派到某種類型已經(jīng)比較困難。另外，如果產(chǎn)品用于不同的應(yīng)用，那么指派的類型也有所變化。在執(zhí)行FMEDA過(guò)程中，具有直接失效模式類型的指派，對(duì)于每個(gè)新的應(yīng)用或者每種使用變化，都需要一個(gè)新的FMEDA。
在功能失效模式方法中，產(chǎn)品的實(shí)際功能失效模式是可識(shí)別的。在執(zhí)行詳細(xì)的FMEDA時(shí)，每個(gè)部件失效模式可以映射到一種功能失效模式。功能失效模式然后按照產(chǎn)品失效模式在特定應(yīng)用中進(jìn)行分類。這就不需要在進(jìn)行一個(gè)新應(yīng)用時(shí)再做分析工作。
機(jī)械 FMEDA 技術(shù)
在2000年早期就已經(jīng)清楚，很多用于安全關(guān)鍵性應(yīng)用的產(chǎn)品有機(jī)械部件。執(zhí)行一個(gè)FMEDA 過(guò)程，而不考慮這些機(jī)械部件，就是不完整的，并且存在誤導(dǎo)。使用FMEDA技術(shù)分析機(jī)械部件的基本問(wèn)題是缺少一個(gè)機(jī)械部件的數(shù)據(jù)庫(kù)，它包括部件失效率和失效模式分布。
利用一系列已經(jīng)出版了的參考資料，有些供應(yīng)商在2003年開(kāi)始，建立機(jī)械部件的數(shù)據(jù)庫(kù)。隨著而后幾年的調(diào)查和改進(jìn)，數(shù)據(jù)庫(kù)已經(jīng)出版。這使得FMEDA可以用于具有電氣和機(jī)械結(jié)合的部件，也可用于純機(jī)械的部件。
將來(lái)發(fā)展
本文介紹了自從第一次努力定義的過(guò)程后，F(xiàn)MEDA 技術(shù)在過(guò)去的幾十年里是怎樣進(jìn)化的。產(chǎn)生的結(jié)果之一是老的 FMEDA 報(bào)告（2002年以前）已經(jīng)不再使用，并且不再和新工作進(jìn)行比較。
非常清楚，部件數(shù)據(jù)庫(kù)需要進(jìn)一步改進(jìn)，在不同應(yīng)用操作規(guī)程中需要進(jìn)行選擇性的校準(zhǔn)。另外，在現(xiàn)場(chǎng)失效研究與FMEDA結(jié)果的比較，已經(jīng)顯示出人的因素，特別在維護(hù)過(guò)程，已經(jīng)影響了產(chǎn)品的失效率和失效模式。隨著可用的數(shù)據(jù)不斷增加，這些因素可能也要加到 FMEDA 的分析中。
（羅克韋爾自動(dòng)化（中國(guó)）有限公司，全球標(biāo)準(zhǔn)及貿(mào)易部中國(guó)地區(qū)經(jīng)理 華镕）
