2. 安全工程基础
做功能安全这些年，我见过不少团队一上来就埋头做 DFMEA（设计 FMEA），结果做到一半发现系统架构都没定，根本没法往下推。说白了，FMEA 不是一张表打天下，它分三种类型：系统 FMEA、设计 FMEA 和 过程 FMEA。每种类型解决不同层面的问题，启动时机也完全不一样。
今天我们就把这三种 FMEA 掰开揉碎了讲清楚。你想想看，如果连类型和时机都搞混，后面的分析全是白费功夫。
三种 FMEA 的核心区别
先看一张对比表，一目了然：
| 维度 | 系统 FMEA | 设计 FMEA | 过程 FMEA |
|---|---|---|---|
| 分析对象 | 系统架构、功能交互、接口 | 硬件/软件具体设计 | 制造、装配、测试流程 |
| 关注焦点 | 功能失效对整车/系统的影响 | 元器件/模块的失效模式 | 工艺步骤中的偏差 |
| 输出成果 | 系统级安全目标、功能安全概念 | 设计改进措施、测试用例 | 控制计划、防错措施 |
| 典型用户 | 系统工程师、功能安全经理 | 硬件/软件设计工程师 | 工艺工程师、生产质量人员 |
| 启动时机 | 概念阶段、系统架构定义后 | 详细设计开始前 | 工艺方案确定后、试产前 |
嗯，这里要注意：三种 FMEA 不是替代关系，而是递进关系。系统 FMEA 是顶层，设计 FMEA 和过程 FMEA 是下层细化。我在项目中遇到过有人把系统 FMEA 和设计 FMEA 混在一起做，结果分析层次全乱了，评审时被专家一顿批。
系统 FMEA：先搭好骨架
系统 FMEA 是第一步。它的任务是回答一个问题：系统到底要实现哪些功能？这些功能如果失效，会带来什么后果？
我个人习惯在系统架构初步确定后，就立刻启动系统 FMEA。这时候你手里应该有：
- 系统框图或架构图
- 功能清单
- 初步的边界定义
系统 FMEA 的输出会直接指导后续的设计 FMEA。比如，系统 FMEA 发现某个功能失效会导致 ASIL D 的风险，那设计 FMEA 就必须针对这个功能做更深入的分析。
关键点：系统 FMEA 不关心具体用哪个芯片、哪个电阻，它只关心功能层面的失效。别在系统 FMEA 里讨论“这个电容会不会短路”，那是设计 FMEA 的事。
设计 FMEA：把骨架填上血肉
设计 FMEA 是在系统 FMEA 的基础上，针对具体的硬件或软件设计展开分析。说白了，就是看每个元器件、每个模块、每段代码可能出什么问题。
我建议在详细设计启动前，就完成设计 FMEA 的初步分析。为什么？因为设计 FMEA 发现的问题，越早改成本越低。我曾经在一个项目中，设计 FMEA 发现某个电源芯片的选型存在单点故障风险，当时还在原理图阶段，换芯片只花了半天。如果等到 PCB 打样回来才发现，那损失就大了。
设计 FMEA 的典型输入包括：
- 原理图、BOM 清单
- 软件架构图、状态机
- 系统 FMEA 输出的安全目标
个人经验：设计 FMEA 最容易犯的错是“分析太细”。比如把每个电阻的每个引脚都列出来分析，那工作量会爆炸。我的做法是：先聚焦在安全相关的功能上，非安全部分可以简化处理。
过程 FMEA：别让制造环节掉链子
过程 FMEA 关注的是制造、装配、测试这些环节。你设计得再好，如果生产过程中出了问题，照样白搭。
过程 FMEA 的启动时机比较明确：工艺方案确定后、试产之前。这时候你已经有：
- 工艺流程图
- 工装夹具方案
- 测试计划
过程 FMEA 的重点是识别工艺步骤中的潜在偏差，比如：
- 焊接温度偏差
- 螺丝拧紧力矩不足
- 测试程序漏测
避坑指南：我曾经见过一个团队，过程 FMEA 做得非常漂亮，但全是“纸上谈兵”——没有结合实际产线数据。结果量产时发现，他们分析的失效模式根本不对，真正的痛点反而没覆盖。所以，过程 FMEA 一定要拉上产线的一线工程师一起做。
三种 FMEA 的时序关系
为了让你更直观地理解三种 FMEA 的启动时机和递进关系，我画了一张流程图：
启动时机：别早也别晚
启动时机把握不好，FMEA 要么白做，要么来不及改。我总结了一个经验法则：
- 系统 FMEA：系统架构初步确定后，立刻启动。太早（概念模糊时）分析不准，太晚（设计已冻结）改不动。
- 设计 FMEA：详细设计开始前，至少完成初步分析。我习惯在原理图/代码框架出来后，就拉团队过一遍。
- 过程 FMEA：工艺方案确定后、试产前。太早（工艺未定）分析无意义，太晚（已量产）只能当复盘。
核心原则：FMEA 是预防工具，不是事后总结。如果你在量产阶段才做 FMEA，那它已经失去了 80% 的价值。
实战中的常见误区
最后，分享几个我在项目中踩过的坑：
- 三种 FMEA 混在一起做——结果分析层次混乱，评审时被要求重做。
- 系统 FMEA 做得太细——把电阻电容的失效都列进去，导致工作量爆炸，核心问题反而没抓住。
- 过程 FMEA 脱离产线——坐在办公室里凭想象分析，结果全是错的。
- 启动时机太晚——设计都冻结了才做 FMEA，发现问题也改不了，只能写个“风险接受”。
嗯，记住一句话：FMEA 的类型决定了分析视角，启动时机决定了分析价值。两者都对了，FMEA 才能真正帮你省钱、省时间、保安全。