FMEA和FTA在功能安全中的应用

功能安全是近年来发展形成的一套全新安全技术理念与管理方法，是对传统安全管理方式的一种突破。采用功能安全技术的目的是保障安全系统在必要时能有效地执行其安全功能。功能安全技术以系统在安全生命周期各阶段的安全完整性水平为核心，通过对受控设备进行危险和风险分析，为其设置有效的安全功能，选择恰当的目标安全完整性水平，设计出满足目标安全完整性水平要求的安全功能。

 

 

国际电工委员会（IEC）于2000年出台了功能安全国际标准IEC61508：电气/电子/可编程电子（E/E/PE）安全相关系统的功能安全。该标准于2010年完成修订，发布了第二版。该标准是功能安全的通用标准，是其他行业制定功能安全标准的基础。该标准提出了一个通用的方法，目的是为了针对以电子为基础的安全相关系统提出一种一致的、合理的技术方针，主要目标是促进应用领域标准的制定。目前已发布的行业标准有IEC 61511（过程工业）、IEC 61513（核工业）、IEC 62601（机械工业）、ISO 26262（汽车工业）等。

 

为满足完整有效的功能安全要求，安全分析是必要的手段。安全分析的目的在于检查相关项及要素的功能、表现及设计的故障和失效后果。安全分析也提供了关于导致违背安全目标及安全要求的条件和原因的信息。此外，安全分析也有助于识别出在先前危害分析和风险评估过程中未被发现的新功能性危害或非功能性危害。安全分析可以分为归纳分析法和演绎分析法。归纳分析法是由下而上的方法，由已知的原因预见未知的影响，比如：失效模式与影响分析（FMEA）, 事件树分析 (ETA)，马尔科夫（Markov）模型等。演绎分析法是由上而下的方法，由已知的影响探寻未知的原因，比如：括故障树分析 (FTA),可靠性框图,鱼骨图等。

在ISO 26262 的标准中，在产品设计的关键阶段，明确了FMEA和FTA等在安全分析的必要性。比如在系统设计和硬件设计阶段：“对系统设计进行安全分析以识别系统性失效的原因和系统性故障的影响”，“硬件设计的安全分析，可以识别硬件失效的原因和故障的影响”

应按照下表1执行：

表1系统设计和硬件设计的安全分析

a 一个典型的演绎分析方法是 FTA。

b 一个典型的归纳分析法是 FMEA。

— “++”表示对于指定的ASIL等级，高度推荐该方法；— “+” 表示对于指定的ASIL 等级，推荐该方法；— “o” 表示对于指定的ASIL等级，未推荐或反对该方法。

   

分析相关项和要素的故障和失效时，最常用的两种技术是 FTA 和FMEA。FMEA 是一种从系统各元器件的失效原因到它们的失效对系统的影响的归纳方法（自下而上）。 FTA是 一种从非预期的系统行为到导致该行为的可能原因的演绎方法（自上而下）。

图1 FMEA图解，自上而下的方法

图2 FTA 图解，自上而下的方法

这些方法是互补的，分析的详细程度和设计的详细程度是相称的。在某些情况下，两种方法都可在不同的细节层面上执行。图 1 和 2 里的椭圆形“Cx”既可表硬件也可代表软件组件。一种典型的分析方法是使用 FTA 把危害分析到组件层面。然后使用 FMEA 自下而上的分析组件的失效模式，以确定其失效模式及消除故障树底层故障的安全机制，（宜）避免 FTA 模型与 FMEA 的重叠部分所导致的重复工作是所期望的。由此更倾向于将串行系统元器件的 FMEA 结果做为底事件失效率提供给故障树模型。

 

系统是由许多零部件和子零部件组成的。可将 FTA 和 FMEA 相结合，以提供具有自上而下和 自下而上方法合理平衡的安全分析。如图 3 展示了将 FTA 和 FMEA 相结合的可能方法。在此图中， 底事件是由在更低的抽象层面(例如：子元器件、元器件或组件层面)上完成的不同 FMEA（以 FMEA A-E 标示）中得出的。在本示例中，FMEA B 对底事件 1 和底事件 2 没有影响，但是 FMEA D 对它们两个有影响。

图 3FTA 和 FMEA 相结合的图解

转自：IATF16949服务平台