2. 可靠性工程基础
危害分析，说白了就是回答三个问题：什么东西会出事？出事的概率多大？出了事有多严重？ 我做了十几年安全工程，见过太多项目在危害分析上走过场，结果后期改设计改到崩溃。这一节，咱们把基础打扎实。
2.1 危害识别：把“鬼”从暗处揪出来
危害识别是第一步，也是最容易漏项的一步。我个人习惯把危害分成三类：
- 物理危害：高温、高压、辐射、机械运动部件
- 化学危害：有毒物质、腐蚀性介质、可燃气体
- 功能危害：软件逻辑错误、信号丢失、时序紊乱
嗯，这里要注意——很多人只盯着物理和化学危害，忽略了功能危害。我在一个汽车电子项目中遇到过，硬件设计完全合规，结果软件里一个看门狗超时处理写错了，导致刹车助力在高速上突然失效。你说这是不是危害？
核心原则：危害识别要“宁可错杀一千，不可放过一个”。识别阶段不要做任何过滤，所有潜在危险源先列出来再说。
常用的识别方法有：
- 头脑风暴：召集设计、测试、运维、安全人员一起“找茬”
- 检查表法：基于历史经验和行业标准，逐项核对
- HAZOP：用引导词（如“无”、“多”、“少”、“反向”）系统化地分析偏差
- 事故树分析（FTA）：从顶事件向下追溯，找出所有可能的原因组合
你想想看，如果连危害都没识别全，后面的风险评估和风险控制就是空中楼阁。所以这一步，我建议花整个项目20%以上的时间来做。
2.2 风险评估：给危害“打分”
危害识别完了，接下来要评估每个危害的“危险程度”。风险评估通常用两个维度：
- 严重度（Severity, S）：危害发生后的后果有多严重
- 发生概率（Occurrence, O）：危害发生的可能性有多大
有些行业还会加第三个维度——可检测性（Detection, D），也就是危害发生前能不能被检测到。但核心还是S和O。
我习惯用一个简单的风险矩阵来排序：
| 严重度 \ 概率 | 极低 (1) | 低 (2) | 中 (3) | 高 (4) | 极高 (5) |
|---|---|---|---|---|---|
| 灾难性 (5) | 中 | 高 | 极高 | 极高 | 极高 |
| 严重 (4) | 低 | 中 | 高 | 极高 | 极高 |
| 中等 (3) | 低 | 低 | 中 | 高 | 高 |
| 轻微 (2) | 可忽略 | 低 | 低 | 中 | 中 |
| 无影响 (1) | 可忽略 | 可忽略 | 低 | 低 | 低 |
我的经验：严重度评估时，一定要考虑最坏情况。我曾经评估一个液压管路泄漏，按“轻微”打分，结果实际泄漏引发火灾，整个产线烧了三天。从那以后，我对“轻微”这个词特别警惕。
风险等级确定后，我们通常把风险分为三类：
- 可接受风险：不需要额外措施，但需持续监控
- 可容忍风险：需要采取措施降低，但可以接受一定程度的残余风险
- 不可接受风险：必须消除或降低到可容忍水平，否则项目不能放行
2.3 风险控制：把风险“关进笼子”
风险评估完了，就该动手控制了。风险控制的优先级，我建议按这个顺序来：
- 消除：从设计上彻底去掉危害源。比如用低压电代替高压电，用机械联锁代替软件逻辑
- 替代：用更安全的方案替代危险的方案。比如用阻燃材料代替易燃材料
- 工程控制：加防护罩、安全阀、急停按钮、冗余设计
- 管理控制：培训、操作规程、警示标识、工作许可制度
- 个人防护装备：安全帽、护目镜、防毒面具——这是最后一道防线
说白了，能消除就别想着防护，能工程控制就别指望人不出错。我在一个核电项目中见过，设计人员觉得操作员“应该不会按错按钮”，结果真就按错了。人都会犯错，这是人性，别跟人性较劲。
避坑指南：我曾经在一个项目中，团队为了赶进度，把风险控制措施从“工程控制”降级为“管理控制”，理由是“培训到位就行”。结果投产第三个月就出了安全事故。记住：管理控制是最不可靠的控制方式，因为它依赖人的行为。
2.4 危害分析的核心逻辑图
下面这张图，是我自己总结的危害分析核心流程。每次做新项目，我都会先画一遍这个图，确保思路清晰。
2.5 危害分析与FMEA/FTA的关系
说到这儿，你可能要问：危害分析和FMEA、FTA到底是什么关系？
我的理解是这样的：
- 危害分析是“总纲”，告诉你要分析什么、怎么分析、分析到什么程度
- FMEA是“显微镜”，逐项分析每个失效模式的原因和影响
- FTA是“望远镜”，从顶事件往下看，找出所有可能的失效路径
说白了，危害分析定方向，FMEA和FTA是具体工具。没有危害分析，FMEA和FTA就是无头苍蝇；没有FMEA和FTA，危害分析就是纸上谈兵。
关键点：在后续章节中，我们会详细讲解如何用FMEA做“自下而上”的失效分析，以及如何用FTA做“自上而下”的故障树分析。这两者配合使用，才能把危害分析做透。
好了，这一节的基础就讲到这里。记住三个关键词：识别、评估、控制。这是所有安全分析工作的起点，也是终点。