1. 课程导入

各位好，我是老张。在系统安全这个行当里摸爬滚打了十几年，今天咱们来聊聊两个老朋友——FMEA和FTA。说实话，我刚入行那会儿，总觉得这两个工具是分开用的，直到有一次在项目里吃了大亏，才明白它们配合起来有多重要。

先问大家一个问题：你手头有一个复杂系统，怎么保证它不出致命事故？ 靠拍脑袋肯定不行。这时候就需要系统化的分析方法。FMEA和FTA，就是最经典的两把“手术刀”。

1.1 什么是FMEA？

FMEA，全称是失效模式与影响分析（Failure Mode and Effects Analysis）。说白了，就是“如果这个零件坏了，会发生什么？”

它是一种自下而上的归纳分析法。从最底层的元器件、零部件开始，逐个分析它们可能出现的失效模式，然后评估这种失效对上一级、乃至整个系统的影响。

我记得在2008年，我参与一个汽车电子项目。当时一个继电器选型没做FMEA，结果批量生产后，有5%的继电器在低温环境下触点粘连。那一次返工，直接损失了上百万。从那以后，我养成了一个习惯：任何新设计，第一件事就是拉清单做FMEA。

1.2 什么是FTA？

FTA，全称是故障树分析（Fault Tree Analysis）。它跟FMEA正好反过来，是自上而下的演绎分析法。

它的思路是：先定义系统最不希望发生的顶事件（比如“飞机坠毁”、“反应堆失控”），然后像剥洋葱一样，一层层往下找，看哪些底层事件的组合会导致这个顶事件发生。

你想想看，FMEA是“点”的排查，FTA是“面”的推演。两者视角完全不同，但正好互补。

1.3 起源与发展历程

这两个工具都不是凭空冒出来的。它们的诞生，都跟人类历史上几次重大事故有关。

时间	事件	意义
20世纪50年代	美国格鲁曼公司首次在飞机主操纵系统上应用FMEA	FMEA的雏形，用于提高飞行安全性
1960年代	美国NASA在阿波罗登月计划中系统化使用FMEA	FMEA成为航天领域的标准方法
1961年	贝尔实验室的H.A. Watson为“民兵”导弹发射控制系统开发FTA	FTA的诞生，用于评估核武器误发射风险
1970年代	美国核管会（NRC）在核电站安全分析中强制使用FTA	FTA从军事领域扩展到民用核工业
1980年代至今	汽车、医疗、化工、铁路等行业全面引入FMEA和FTA	成为国际通用的系统安全分析工具

这里有个小故事。1961年，贝尔实验室的Watson博士在分析“民兵”导弹时，发现传统的检查表根本没法处理复杂的逻辑关系。于是他画出了第一棵故障树——用“与门”和“或门”把各种故障原因串起来。这个创意后来被广泛复制，直到今天，FTA依然是核电站安全分析的核心工具。

1.4 FMEA与FTA的核心区别

为了让大家更直观地理解，我整理了一个对比表：

维度	FMEA	FTA
分析方向	自下而上（从部件到系统）	自上而下（从系统到部件）
逻辑类型	归纳法（“如果...那么...”）	演绎法（“为什么...？”）
分析对象	单个失效模式	多个失效事件的组合
输出形式	表格（FMEA表）	树状图（故障树）
定量能力	较弱（主要靠RPN排序）	较强（可计算顶事件概率）
适用阶段	设计早期、详细设计、生产	概念设计、详细设计、事故调查

你看，FMEA擅长“扫雷”，把所有可能的单点故障都找出来；FTA擅长“破案”，从事故倒推原因。两者结合，才能做到既全面又深入。

1.5 知识体系总览

下面这张图，是我自己画的FMEA与FTA配合的知识框架。你可以把它当作整个课程的“地图”。

这张图里，我特意把FMEA和FTA放在同一层，然后用箭头指向“配合应用”。为什么？因为在实际项目中，FMEA输出的失效模式清单，就是FTA定量计算的数据来源。没有FMEA，FTA就是空中楼阁；没有FTA，FMEA就缺乏系统性。

1.6 为什么要把它们放在一起学？

很多新手会问：我单独学FMEA或者单独学FTA不行吗？我的回答是：可以，但你会漏掉一半的风景。

举个例子。我在2015年参与一个高铁信号系统的安全评估。项目组先用FMEA排查了所有电子模块的失效模式，列出了200多条。但评审时发现，有些失效模式虽然单个概率很低，但组合起来却可能造成严重后果。这时候，FTA就派上用场了——我们建了一棵故障树，把顶事件定义为“信号错误显示”，然后往下找，发现有三个底层事件同时发生才会触发。这三个事件在FMEA表里都被标记为“低风险”，但组合起来却是灾难性的。

好了，这一章我们先把FMEA和FTA的“出身”和“性格”搞清楚。后面的章节，我会带着大家一步步拆解它们的操作细节，以及如何在实际项目中让它们“联合作战”。