失效模式效應與關鍵性分析法

失誤模式效應與關鍵性分析法（failure mode, effects and criticality analysis; FMECA）為風險管理的先驅，也叫故障模式、影響及嚴重性分析，是失誤模式與影響分析（FMEA）的延伸。失效模式與影響分析是一個由下往上的歸納法分析方式，可以分析機能或是零元件。FMECA 是在 FMEA 以外增加了關鍵性分析，將各失效模式的機率對應不同嚴重性的後果來列表，因此會突顯機率較高且有後果較嚴重的失效模式，因此讓失效模式的補救行動可以有最大的效果。

該分析模式創始於 1950 年代美國空軍。該模式本用來試驗戰鬥機駕駛員彈射裝置失效的機率與其主因，經由以負面風險思維反覆測試後，相當有效的提高美國空軍戰機的效能。

1961 年，美國貝爾實驗室沃森（Watson）等人，在民兵導彈發射控制系統也將此管理概念應用於硬體設施。除此，該分析法稍後更成為美國國家航空航天局（NASA）執行阿波羅計畫時，可靠度及安全管理契約中的重要條款。自此，在美對於武器系統可靠性及安全性的重視與要求之下，風險概念或風險管理邁入新境地。在太空及北約軍事計劃中已開始用 FMECA 取代 FMEA，不過其他工業領域仍使用 FMEA 或是其變體。

歷史

FMECA 最早在 1940 年代由美軍發展，在 1949 年提出 MIL–P–1629。在 1990 年代早期，美國國家航空航天局的承包商開始使用 FMECA 的變體，也有許多不同的名稱。1966 年 NASA 發行其 FMECA 程式，用在阿波羅計劃上。之後 FMECA 也用在其他的 NASA 計劃中，包括海盜號、航海家計畫、麥哲倫號金星探測器及伽利略號探測器等。

可能是因為 MIL–P–1629 在 1974 年被 MIL–STD–1629（SHIPS）取代，因此許多人以為 FMECA 是由 NASA 所發展的。

在太空計劃發展的同時，FMEA 及 FMECA 的應用也擴充套件到民航業。1967 年發行第一份有關 FMECA 的民用規範。民航業現在傾向使用 FMEA 及故障樹分析的技術再配合 SAE ，較少使用 FMECA，不過有些直昇機製造商將 FMECA 用在民用的旋翼機上。

福特公司在其平託汽車系列的問題後，在 1970 年代開始使用 FMEA，1980 年代時越來越多汽車廠開始使用 FMEA。歐洲的國際電工委員會在 1985 年釋出了 IEC812（現在的 IEC60812），提到 FMEA 及 FMECA 在各領域的應用。英國標準協會在 1991 年為了類似的目的發行了 BS5760–5。

1980 年時，MIL–STD–1629A 取代了 MIL–STD–1629 及 1977 年的航空 FMECA 標準 MIL–STD–2070。MIL–STD–1629A 在 1998 年取消，沒有其他替代的標準。不過在軍事及太空領域仍廣為使用。

方法論

不同的 FMECA，其方法論會有細微的不同。根據 RAC CRTA–FMECA，FMECA 一般會包括以下的步驟：

系統定義。
定義基本原則及假設條件，以便進行設計。
建構系統方塊圖
識別失效模式（元件級或是機能級）
分析失誤影響 / 原因
將結果放入設計的程式中
依失效影響的嚴重度分類
進行關鍵性的計算
依失效模式的關鍵性排序
確認關係專案
將結果放入設計的程式中
找出失效偵測、隔離以及補救措施
進行可維護性分析
將分析作成檔案，記錄無法修正的設計區域，找出為了減少失效風險需做的特別控制方式
提出建議方案
針對糾正措施是否實施以及其有效性再進行追蹤

FMECA 可以依機能或是零件來進行，依機能的 FMECA 考慮每個機能方塊（例如電源或是放大器）失效時的影響，而依零件的 FMECA 考慮每個零件（例如電阻、電晶器、微電路或是閥）失效時的影響。依零件的 FMECA 所需要的人力較多，但比較可以知道失效出現的機率。相對而言，依機能的 FMECA 比較容易進行，可以有助於完整的風險評估，也比較可以看出其他減緩風險的可能性，若能配合定量危害分析方法中的失誤樹 FTA 分析法，兩者具有相輔相成的效果。

關鍵性分析可以是定量的，也可以是定性的，依照可取得的元件失效資料而定。

2.1 系統定義

在這個步驟，需定義要分析的主要系統，並且將其分解為像系統、子系統或是裝置、單元或是子元件以及零件等層級。針對系統以及其子系統作機能的描述，包括所有的工作模式以及任務階段。

2.2 定義基本原則及假設

在開始細部分析之前，需定義基本原則及假設。可能包括以下的專案：

標準化的任務簡介，配合特定的固定期間任務階段。
失效率以及失效模式資料的來源
計劃進行的系統燒機測試，可能有的故障偵測覆蓋率
分析要是依機能的或是依零件的
考慮的準則（任務中止、安全性、可維護性等）
不重覆標示零件或是機能的系統
嚴重性分類的定義

2.3 方塊圖

接下來，系統及子系統都會用方塊圖來表示。或是故障樹大約也是此一階段建立。這些圖是用來追蹤資訊在不同的系統階層中是如何流動、識別關鍵路徑以及介面，找出較低階失效會對系統較高階部份的影響。

2.4 失效模式識別

針對分析中的每一個零件或是每一個機能，都會有完整的失效模式列表。對於機能型的 FMECA，常見的失效有：

無法及時運作
當需要運作時失效
沒有輸出
間斷性的輸出
錯誤輸出（假定目前條件下）
無效輸出（任意條件）

針對零件型的 FMECA，失效模式可以參考像 RAC

FMD–91 或是 RAC FMD–97 之類的資料庫。這些資料庫不但可以提供失效模式，也可以提供各失效模式機率，例如

每個機能或是零件會列在一個大矩陣，每個失效模式是一欄。因為 FMECA 會包括很多的資料，因此需針對每一個零件或是機能有一個唯一的代號，也需針對每一個失效模式有唯一的代號。

2.5 失效影響分析

在 FMECA 矩陣中的每一個失效都需配合基本原則所訂定的準則，加以確認其影響，再填入矩陣中。影響會分為對本身的、對上一層的，以及對整個系統的。系統級的影響可能包括：

系統失效
運作降額
系統狀態上的失效
沒有立即影響

不同層級中使用的失效影響分類可以配合工程的判斷方式，由分析者針對系統規劃。

2.6 嚴重性分類

需針對每一個失效模式，依其系統級的影響指定對應嚴重性分類，再填入 FMECA 矩陣中。一般會用較少量的分類，多半會分為 3 至 10 個嚴重性分類。若是用 MIL–STD–1629A 進行 FMECA，一般會依照 MIL–STD–882 進失效嚴重性的分類。

目前美國聯邦航空管理局（FAA）、NASA 及歐洲空間局的 FMECA 嚴重分類都是以 MIL–STD–882 為其基礎。

2.7 失效檢測方式

針對每個元件及每個失效模式，需要分析系統偵測及回報此項失效的能力。需針對每個失效模式在 FMECA 矩陣中填入以下三項中的其中一項：

正常（normal）：系統可以正確的告知工作人員有安全上的狀況。
異常（abnormal）：系統可以正確的告知工作人員有機能異常的情形，需要工作人員介入才能恢復正常。
不正確（incorrect）：系統會在機能異常時回報不正確的安全狀況，或是在系統正常時發出警告（假警告）。

2.8 關鍵性排序

失效模式的關鍵性評估可以是定性的，也可以是定量的。若是定性的評估，會針對失效模式評估其錯誤可能性的程式碼或是編號。根據 MIL–STD–882 定義了五個可能性的等級：

失效模式可以畫在關鍵性矩陣中，一軸是嚴重性等級，另一軸是可能性等級。

若是定量的評估，可以針對每一個專案的每一個失效模式計算模式關鍵性係數及專案關鍵性係數 。關鍵性係數可以用以下的數值來計算：

基本失效率
失效模式比率
條件機率
任務持續時間

模式關鍵性係數為，而專案關鍵性係數為。

基本失效率一般是 MIL–HDBK–217, PRISM, RIAC217Plus 或是類似模型所得的失效機率預測值。
失效模式比率是從 RAC FMD–97 之類的資料庫來取得，或是機能層面的 FMECA，需要用工程師決定失效模式比率。
條件機率表示假設已出現此失效模式，在已識別的嚴重分類中，出現對應失效影響的機率，這也表示分析者判斷損失出現的可能性。

若是繪圖式的分析方式，關鍵性矩陣可以用或為其中一個軸，嚴重性程式碼為另一軸。

2.9 關鍵專案 / 失效模式列表

一旦針對每一個失效模式評估了其關鍵性，就可以依嚴重性及關鍵性係數來將 FMECA 矩陣中的專案進行排序，可以找出關鍵的專案以及關鍵的失效模式，希望可以進一步可以針對失效模式設計補救行動。

2.10 建議

在完成 FMECA 後，需針對設計提出可以減少關鍵失效影響的建議，可能包括使用可靠度更高的材料、減少關鍵零件運作時的應力程度，或者增加系統冗餘或是監控的機制。

2.11 可維護性分析

FMECA 產出的資料一般會作為可維護性分析及的基礎。

2.12 FMECA 報告

FMECA 報告包括系統描述、基本原則及假設、結論及建議、需追蹤的，以及對應的 FMECA 矩陣。

風險優先順序數計算

RAC CRTA–FMECA 及 MIL–HDBK–338 都定義了風險優先順序數（RPN）的計算，作為代替關鍵性分析的一種方式。風險優先順序數是由發現指數（D）、嚴重程度值（S）和出現頻率（O）相乘，每個的計分是從 1 至 10 分，最高的風險優先順序數為

10x10x10 = 1000，表示這個失效無法由檢測而發現，非常嚴重，而且幾乎都會出現。若發生機率非常低，可以將 O 改為 1，風險優先順序數就降為 100，這可助於針對風險最高的失效問題先進行改善。

優點及缺點

FMECA 的優點包括可全面性、有系統的建立失效原因以及其影響之間的關係，而且可以點出個別的失效模式，以便在設計中規劃糾正措施。其缺點包括耗時費力及需考慮許多瑣碎的情形，以及無法考慮一些未考慮到的跨系統效應即多重故障（例如，也就是系統中有一些不希望出現的路徑或是邏輯，在特定情形下會觸發不應出現的機能，或是使應正常動作的機能失效），或是多個失效同時出現的情形。

根據 FAA 針對商業太空運輸的研究報告

失效模式效應與關鍵性分析法是傑出的危害分析及風險風險評估工具，不過仍有其限制。此方法沒有考慮複合失效，也沒有考慮常見的包括軟體以及人機互動造成的問題。在預估可靠度時預估的結果往往也太過樂觀，在進行可靠度估計時，除了 FMECA 外，也應該要配合其他的分析工具一起進行。