4. FMEA核心概念
FMEA这东西，看着步骤多，其实核心就五步。我做了这么多年安全分析，发现很多人把FMEA做成了“填表大赛”——表格填得漂漂亮亮，实际该漏的风险一个没少。今天咱们把这五步拆开揉碎，讲讲每一步到底该干什么。
4.1 第一步：规划与准备
这一步最容易被跳过。很多人上来就拉表格、填功能，结果分析到一半发现范围没定清楚，分析对象边界在哪都不知道。
规划阶段要干三件事：
- 明确分析对象：系统、子系统还是组件？我见过一个项目，把整个生产线当FMEA对象，结果开了三天会连功能清单都没列完。
- 划定边界：哪些东西归你管，哪些是外部接口。边界画不清楚，后面失效分析就会扯皮。
- 组建团队：FMEA不是一个人能干的活。我习惯拉上设计、工艺、测试、质量的人，至少4-5个。一个人写出来的FMEA，基本等于自嗨。
4.2 第二步：功能分析
功能分析说白了就是回答一个问题：这个系统/组件到底是干什么的？
很多人写功能写得特别虚，比如“提供动力”、“传输信号”。这种功能描述，后面根本没法做失效分析。我建议功能描述要满足三个条件：
- 动词+名词+性能指标：比如“在0-100℃范围内将输入电压稳定在5V±1%”
- 区分主要功能和次要功能：主要功能失效直接导致任务失败，次要功能失效可能只是降级
- 考虑所有工作模式：正常模式、维护模式、故障模式、甚至运输模式
举个例子，一个简单的继电器：
| 功能编号 | 功能描述 | 功能类型 |
|---|---|---|
| F-01 | 接收到控制信号后，在10ms内完成触点闭合 | 主要功能 |
| F-02 | 触点断开时，绝缘电阻≥100MΩ | 次要功能（安全相关） |
| F-03 | 在额定负载下，触点温升不超过65℃ | 次要功能（可靠性相关） |
4.3 第三步：失效分析
这是FMEA的核心，也是最容易出问题的地方。失效分析要回答：功能怎么可能会坏？
我习惯把失效模式分成三类：
- 功能丧失：该干活的时候不干活
- 功能降级：干活了但没干好
- 功能异常：干了不该干的事
每个失效模式都要分析它的原因和影响。这里有个关键点：原因要找到根因，影响要追到系统级。
举个例子，还是那个继电器：
| 功能 | 失效模式 | 失效原因 | 局部影响 | 系统影响 |
|---|---|---|---|---|
| F-01 触点闭合 | 触点无法闭合 | 线圈断路 | 继电器不动作 | 下游设备无法启动 |
| F-01 触点闭合 | 触点闭合时间＞10ms | 触点氧化/弹簧疲劳 | 动作延迟 | 时序错乱，可能触发保护逻辑 |
| F-02 绝缘电阻 | 绝缘电阻＜100MΩ | 爬电距离不足/污染 | 漏电流增大 | 可能造成人员触电风险 |
4.4 第四步：风险评价
风险评价就是给每个失效模式打分。常用的方法是RPN（风险优先数）：
RPN = 严重度(S) × 发生频度(O) × 探测度(D)
打分标准每家公司的尺度不一样，但有几个原则是通用的：
- 严重度(S)：只看后果，不看概率。只要可能导致人员伤亡，S就是9或10
- 发生频度(O)：基于历史数据和工程判断，别拍脑袋
- 探测度(D)：现有控制措施下，失效被发现的概率。D越高，越难被发现
我见过最离谱的事，是有人把RPN算出来之后，只盯着分数最高的几个去改。结果呢？一个S=10、O=2、D=2的失效，RPN=40，被忽略了。但它的严重度是10啊！
4.5 第五步：优化与改进
风险评价完了，不是把表格一交就完事了。优化才是FMEA的价值所在。
优化的思路就三条：
- 降低严重度：改设计，让失效后果不那么严重。比如加安全阀、加冗余
- 降低发生频度：改设计或工艺，让失效不容易发生。比如换更可靠的元器件、加防护
- 提高探测度：加检测手段，让失效在早期就被发现。比如加自检、加测试点
每次优化之后，要重新计算RPN，看看措施有没有效果。如果RPN没降下来，说明措施不到位，继续改。
4.6 FMEA五步流程总览
下面这张图把五步串起来了，你感受一下整体逻辑：
你看这个流程，不是线性的。步骤5做完，如果RPN没达标，要回到步骤3甚至步骤2重新分析。FMEA是个迭代的过程，不是一锤子买卖。
好了，FMEA的五步就讲到这里。记住：规划定边界，功能说清楚，失效找原因，风险排优先级，优化要验证。这五步走扎实了，你的FMEA就不会只是张表格。