4. 危害分析与风险评估
各位，咱们进入概念阶段最核心的工具环节了。
FTA 和 FMEA，这两个名字你肯定听过。但说实话，我在不少项目里见过把它们用成“两张皮”的情况——文档写得漂漂亮亮，实际分析跟系统设计完全脱节。这很危险。
今天我们就把它讲透。先分别说清楚它们是什么，再重点聊聊在概念阶段怎么用、为什么用、用不好会出什么问题。
4.1 故障树分析（FTA）基础
FTA，说白了就是“找根因”的逆向推理。从一个顶层事故出发，一层层往下追问：是什么直接导致了它？再往下，又是什么导致了这些直接原因？
我个人习惯把它叫做“事故的族谱”。
核心思想：用逻辑门（与门、或门）把故障事件连接起来，定量或定性地分析系统为什么会失效。
4.1.1 基本符号与逻辑门
你不需要背太多符号，掌握下面这几个就够了：
| 符号 | 名称 | 含义 |
|---|---|---|
| 矩形 | 顶事件 / 中间事件 | 需要进一步分析的事件 |
| 圆形 | 底事件 | 基本失效，不再往下分解 |
| 菱形 | 未展开事件 | 信息不足，暂不展开 |
| 与门 | AND | 所有输入同时发生，输出才发生 |
| 或门 | OR | 任一输入发生，输出就发生 |
我的经验：概念阶段用 FTA，我建议只用到“或门”和“与门”。优先用“或门”——它代表单点故障，是安全设计的头号敌人。
4.1.2 建树步骤
建一棵故障树，我一般分四步走：
- 定义顶事件——比如“车辆非预期加速”。这个事件必须明确、可观测。
- 逐层分解——问“直接原因是什么？”一直问到基本失效或人为错误。
- 连接逻辑门——用与门、或门把因果关系画出来。
- 定性/定量分析——找最小割集，或者算概率。
概念阶段我们主要做定性分析。找最小割集，看看哪些单点故障能直接捅穿安全目标。
注意：FTA 的深度要适可而止。概念阶段不要钻到电阻电容级别，那是详细设计的事。停在“功能失效”或“组件失效”层面就够了。
4.2 失效模式与影响分析（FMEA）基础
FMEA 和 FTA 正好相反。FTA 是从上往下找原因，FMEA 是从下往上找影响。
FMEA 的出发点是：“我这个零件/功能，如果坏了，会怎样？”
4.2.1 FMEA 的核心要素
一张标准的 FMEA 表格，至少包含这几列：
| 要素 | 说明 |
|---|---|
| 功能 | 这个部件或系统应该干什么 |
| 失效模式 | 它可能怎么坏 |
| 失效原因 | 为什么会这样坏 |
| 失效影响 | 对系统、对安全目标有什么后果 |
| 严重度（S） | 后果有多严重 |
| 发生度（O） | 发生的可能性 |
| 探测度（D） | 现有手段能否发现 |
| RPN | S × O × D，风险优先级 |
概念阶段我一般只看 S 和 O。D 在概念阶段很难估准，硬算 RPN 反而会误导决策。
4.2.2 功能 FMEA vs 硬件 FMEA
在概念阶段，我们做的是 功能 FMEA，不是硬件 FMEA。
- 功能 FMEA：分析“功能失效”，比如“制动功能丧失”、“转向响应延迟”。
- 硬件 FMEA：分析“零件失效”，比如“电阻开路”、“电容短路”。
概念阶段没有具体硬件方案，所以只能做功能 FMEA。我见过有人非要在概念阶段做硬件 FMEA，结果全是假设，分析完自己都不信。
4.3 FTA 与 FMEA 在概念阶段的应用
好，基础讲完了。现在说重点——这两个工具在概念阶段到底怎么用？
4.3.1 两者的关系：互补，不是替代
FTA 和 FMEA 不是二选一，而是搭档。
| 维度 | FTA | FMEA |
|---|---|---|
| 分析方向 | 自上而下（顶事件 → 底事件） | 自下而上（失效 → 影响） |
| 关注点 | 原因组合与逻辑关系 | 单个失效模式及其后果 |
| 输出 | 最小割集、故障路径 | 失效模式清单、RPN |
| 概念阶段用途 | 识别安全目标的关键致因 | 识别功能失效的覆盖范围 |
我习惯的做法是：先用 FMEA 把功能失效摸一遍，再用 FTA 对高严重度的失效做深度分析。
4.3.2 概念阶段的具体应用流程
在概念阶段，我建议按这个顺序走：
- 定义安全目标（来自 HARA）
- 做功能 FMEA，列出所有功能失效模式，标出严重度
- 对 ASIL C/D 的安全目标，建 FTA，找出关键致因
- 交叉验证：FTA 的底事件是否在 FMEA 中有覆盖？FMEA 的高严重度失效是否在 FTA 中有路径？
- 输出安全概念：针对关键致因，定义安全机制
关键原则：FTA 帮你找到“哪里最脆弱”，FMEA 帮你确认“有没有漏掉”。两者结合，安全分析才完整。
4.3.3 避坑指南
我曾经在一个项目里吃过亏。团队把 FMEA 做得特别细，几百行，但 FTA 只画了一棵很粗的树。结果评审时发现，FTA 里漏了一个关键的共因失效——电源模块的纹波同时影响了传感器和执行器。FMEA 里这两个失效是分开列的，没人把它们关联起来。
从那以后，我定了一条规矩：FTA 的底事件必须和 FMEA 的失效模式能对应上。对不上的，要么 FTA 漏了，要么 FMEA 漏了。
另一个常见坑：概念阶段 FTA 做得太深。有人非要把“软件跑飞”分解到“寄存器被改写”，这在概念阶段毫无意义。记住，概念阶段 FTA 的底事件应该是“功能失效”或“组件失效”，不是“物理失效”。
4.4 本章知识结构
下面这张图，是我对本章知识体系的梳理。你可以把它当作一个“思维导图”来看：
这张图把 FTA 和 FMEA 的定位、分析方向、输出以及概念阶段的结合方式都串起来了。你可以把它贴在工位旁边，做分析时对照着看。
4.5 小结
概念阶段的安全分析，FTA 和 FMEA 是两把最常用的刀。FTA 帮你从顶往下切，找到关键路径；FMEA 帮你从底往上查，确保没有遗漏。
记住：不要只做其中一个。两个都做，交叉验证，你的安全概念才站得住脚。