缺陷预防实践：需求阶段FMEA与设计审查结合 - 第4节
4.1 FMEA 的定义与核心内涵
FMEA（Failure Mode and Effects Analysis，失效模式与影响分析）是一种系统化的预防性分析技术。它通过逐一识别产品或过程中每个潜在失效模式，分析其可能的原因和影响，从而在问题发生之前采取行动。
FMEA 是一种用于识别、优先排序和降低风险的工程方法，旨在通过预防缺陷、检测异常和纠正设计/过程弱点，提高产品的可靠性和安全性。
FMEA 不是一次性的“填表活动”，而是一个持续迭代的风险管理过程。它要求团队跨职能协作，将“事后补救”转变为“事前预防”。
FMEA 的三层核心目标
| 目标层 | 英文术语 | 核心含义 | 需求阶段示例 |
|---|---|---|---|
| 预防 | Prevention | 在设计或需求定义阶段，消除或降低失效发生的可能性 | 明确“用户登录超时时间”的边界值，防止因模糊需求导致会话管理漏洞 |
| 检测 | Detection | 在失效发生或传递到下游前，通过评审、测试或检查手段发现它 | 在需求评审中增加“异常场景检查清单”，检测遗漏的边界条件 |
| 纠正 | Correction | 对已识别的失效模式制定并实施改进措施，降低风险等级 | 针对“支付接口超时无提示”的失效模式，增加重试机制和用户反馈 |
4.2 FMEA 的起源与发展
航空航天领域的诞生
FMEA 最早由美国国家航空航天局（NASA）在 20 世纪 60 年代的阿波罗计划中正式提出。当时为了确保登月任务的安全性，NASA 需要一种能够系统性地识别和预防设备故障的方法。FMEA 被用于分析火箭推进系统、生命支持系统等关键子系统，显著降低了任务失败的风险。
汽车行业的推广与标准化
20 世纪 70 年代，福特汽车公司将 FMEA 引入汽车制造业，用于解决 Pinto 车型燃油系统安全缺陷等质量问题。随后，美国汽车工业行动集团（AIAG）在 1993 年发布了第一版 FMEA 参考手册，使其成为行业标准。
2019 年，AIAG 与德国汽车工业协会（VDA）联合发布了统一版 FMEA 手册，将七步法（策划、结构分析、功能分析、失效分析、风险分析、优化、结果文件化）确立为全球通用流程。
| 阶段 | 时间 | 关键事件 | 影响 |
|---|---|---|---|
| 起源 | 1960s | NASA 阿波罗计划 | 首次系统化应用于复杂系统可靠性分析 |
| 推广 | 1970s | 福特汽车引入 | 从航天扩展到汽车制造 |
| 标准化 | 1993 | AIAG 发布首版手册 | 形成行业通用方法论 |
| 统一 | 2019 | AIAG & VDA 联合手册 | 全球统一流程与评分标准 |
4.3 FMEA 在需求阶段的应用价值
传统上，FMEA 多用于设计阶段（DFMEA）和过程阶段（PFMEA）。但在软件和系统需求分析中，提前引入 FMEA 思维可以带来显著收益：
- 需求模糊性识别： 发现“未定义”、“二义性”、“不可测试”的需求条目。
- 边界条件覆盖： 识别输入范围、并发场景、异常恢复等容易被忽略的失效模式。
- 接口风险分析： 分析模块间、系统间交互的潜在故障传播路径。
- 优先级排序： 通过风险优先级数（RPN）量化需求风险，指导评审和测试资源分配。
需求 FMEA 与设计 FMEA 的对比
| 对比维度 | 需求 FMEA | 设计 FMEA |
|---|---|---|
| 分析对象 | 需求条目、功能规格、用户故事 | 系统架构、模块设计、接口定义 |
| 主要失效模式 | 需求遗漏、歧义、不可测试、冲突 | 设计缺陷、性能瓶颈、安全漏洞 |
| 预防措施 | 需求澄清、增加约束、定义验收标准 | 设计模式优化、冗余设计、降级策略 |
| 检测手段 | 需求评审、原型验证、检查清单 | 设计评审、仿真、代码审查 |
| 纠正成本 | 低（修改文档即可） | 中（可能涉及架构调整） |
4.4 FMEA 的核心术语与评分维度
在 FMEA 分析中，每个失效模式都需要从三个维度进行量化评估：
- 严重度（Severity, S）： 失效模式对用户或系统的影响程度，通常 1~10 分，10 分最严重（如安全风险）。
- 发生度（Occurrence, O）： 失效原因发生的可能性，1~10 分，10 分表示几乎必然发生。
- 检测度（Detection, D）： 当前控制措施发现失效模式的能力，1~10 分，10 分表示极难检测。
三个维度的乘积即为风险优先级数（RPN = S × O × D），用于对失效模式进行排序，确定改进优先级。
失效模式：“用户注册时未校验邮箱格式”
· 严重度 S = 7（导致后续流程异常，数据质量下降）
· 发生度 O = 8（常见开发遗漏）
· 检测度 D = 6（需求评审可能未覆盖）
· RPN = 7 × 8 × 6 = 336（高风险，需立即采取预防措施）
4.5 本章小结
FMEA 是一种经过航空航天和汽车行业长期验证的预防性风险管理方法。其核心目标——预防、检测、纠正——在需求阶段具有极高的应用价值。通过系统性地识别需求中的潜在失效模式，并用量化的 RPN 进行优先级排序，团队可以在缺陷产生之前就将其消除或控制。
1. 在需求评审会议中引入 FMEA 检查清单。
2. 对每个功能需求，至少问一次：“如果这个需求被误解或遗漏，会发生什么？”
3. 将 RPN 高于 100 的失效模式作为必须改进项，制定明确的预防措施。