1、2018/7/16,1,安全隐患风险分析与评价,总体方法 隐患分析过程 隐患的定性和定量分析 危险源的辨识,2018/7/16,2,一、总体方法,Hazard analysis is the process of examining a system throughout its life cycle toidentify inherent safety related risks.隐患分析：在系统的寿命周期过程中检查系统识别内在的与安全有关的风险的过程。,实施系统隐患总体分析就是把系统风险看作潜在的系统事故情节和相关的促因隐患，然后设计出控制措施，将风险消除或控制到可接受的水平。系统安全总体
2、工作组可以在安全检查和总体隐患跟踪和风险化解过程中进行这项工作。,From FAA: Chap7_Integrated System Hazard Analysis,2018/7/16,3,1.分析概念,分析者应该关注时间/空间变化或偏差产生的机器/环境相互作用可能造成的人身伤害、功能损坏和系统退化。,对相互作用的研究要评估人（包括程序）、机器和环境这些系统元素之间的相互关系。人的参数系指相关的人为因素工程及相关元素：生物力学、人类工程学和人类行为变量。机器指物理硬件，固件和软件。机器和人处于一个特定的环境中。要研究的是环境带来的负面影响。分析模型5M模型。,2018/7/16,4,5M模型,
3、2018/7/16,5,任务（mission）：是系统的目的或主要功能。这是为什么其他要素要汇集到一块的原因。 人（man）：是系统中的人员要素。如果系统需要人进行操作、维护或者安装，那么系统描述中必须考虑这个要素。 机器(machine)：指的是系统中的硬件和软件（包括软件和硬件相结合的固件） 。,2018/7/16,6,管理(management)：包括在运行、维护、安装以及退役时系统涉及到的程序、政策和规章。环境(media)：是系统运行、维护和安装时所处的环境。这里所指的环境包括运行环境和外界条件。运行环境指的是任务和功能被规划和执行时所处的条件。运行环境包括诸如空中交通密度，通讯拥塞
4、程度，工作负荷等。运行环境的一部分可以用工作类型（空中交通管制，航空运输，通用航空等）和阶段（地面滑行，起飞，进近，航路中，跨洋，着路等）来描述。外界条件包括温度，光，电磁作用，辐射，降水，震动等。,2018/7/16,7,分析手段：人：人接口分析机器：异常能量交换，软件隐患分析，故障隐患分析环境：异常能量交换，故障隐患分析,分析目的：识别可能导致设想事故情节描述的偏差。偏差包括故障，退化，差错，失效和系统异常。它们是具有危害潜势的不安全状况和行为。统称为导致事故的隐患。,2018/7/16,8,2、隐患识别和风险评估,当确定一个特定的风险时，1）要考虑每一个导致事故的事件及其可能性 一个风险
5、是由许多隐患够成的，且每个隐患都有它自己发生的可能性。2）要考虑潜在的最严重灾情的危害 即后果或称事故情节的严重程度。,2018/7/16,9,可能性是根据对潜在事故会不会发生所做的估计确定的。该事故有一个具体的可信范围内最严重灾情的严重程度。如果假设的事故结局改变、情节也随之改变，因此就必须考虑另一个不同的风险。风险评估的步骤： 假设情节确认相关隐患估计可能发生的可信范围内严重灾情的危害估计假设情节的发生可造成危害（严重程度）的可能性,评估的步骤,2018/7/16,10,燃油箱破裂事件,2018/7/16,11,燃油箱破裂事件,这里有几个与这个事故相关的隐患因素：出现燃料汽化，点火装置出现
6、火花，点火和油箱压力过大，油箱破裂和碎片射出。与这个潜在事故相关的成因及由于导线绝缘老化、使油箱内导线裸露并有着足够的点火能量。其结果是飞机损坏、人员伤害、财产损失三种情况的各种可能组合。,2018/7/16,12,液压制动器事件,2018/7/16,13,液压制动器事件,这里有多种因素导致这一事件：主液压刹车系统失效，不恰当地启动紧急刹车系统，飞机丧失刹车能力，飞机冲出跑道碰到障碍物。其结果是飞机损坏、人员伤害、财产损失三种情况的各种可能组合。始发事件与主液压系统失效有关。这个失灵本身又是许多其他导致液压制动系统失效的因素造成的结果。,2018/7/16,14,未关紧的机舱门事件,2018/
7、7/16,15,未关紧的机舱门事件,不是某一特定故障引起的，有许多因素：飞机升空没有适当的座舱压力指示，机长在进入未增压的座舱时没有合适的个人保护装备。这一事件情节的起因包括座舱门没有关好，航前检查不够和驾驶舱内的座舱压力损失显示不充分。其结果是机长缺氧。,2018/7/16,16,发动机罩事件,2018/7/16,17,二、隐患分析过程,隐患分析的目的是识别和界定隐患状况/风险，以便消除或控制风险。分析中要检查系统、子系统、部件和相互关系。,还要检查：训练维护操作与维护环境系统/部件处理,2018/7/16,18,隐患分析步骤：Steps in performing a hazard ana
8、lysis:,Describe and bound the system1、描述系统并为其确定范围Perform functional analysis if appropriate to the system under study.2、实施功能分析，如果该分析适于研究中的系统Develop a preliminary hazard list.3、制定初步隐患清单Identify contributory hazards, initiators, or any other causes.4、确认促因隐患、起因隐患或其他原因Establish hazard control baseline b
9、y identifying existing controls when appropriate.5、在适当的时候通过识别现有的控制措施来建立隐患控制基准,From FAA: Chap8_Safety Analysis Hazard Analysis Tasks,2018/7/16,19,Determine potential outcomes, effects, or harm.6、确定潜在的结局、效应或危害Perform a risk assessment of the severity of consequence and likelihood of occurrence.7、对后果的严
10、重程度和发生的可能性进行风险评估Rank hazards according to risk.8、依据风险的情况对隐患进行排序Develop a set of recommendations and requirements to eliminate or control risks9、建立消除或控制风险的一套建议和要求,2018/7/16,20,Provide managers, designers, test planners, and other affected decision makers with the information and data needed to permit
11、 effective trade-offs10、向管理人员、设计师、测试计划者和其他相关的决策者提供批准有效的权衡所需的信息和数据Conduct hazard tracking and risk resolution of medium and high risks. Verify that recommendations and requirements identified in Step 9 have been implemented.11、进行隐患跟踪和中高风险的化解工作。核实第九步中确定的建议和要求是否已经被执行Demonstrate compliance with given sa
12、fety related technical specifications, operational requirements, and design criteria.12、展示与给定的安全相关技术说明书，操作要求和设计标准的一致性。,2018/7/16,21,隐患分析的基本要素, 确认 评估 化解 及时的解决方案,2018/7/16,22,安全和可靠性之间的关系,可靠性是系统在规定的条件下执行所要求的功能到达规定时间的能力。 可靠性和系统安全分析是互补的关系。它们可以相互提供比各自单独获取的更多的信息。尽管它们相互之间不能互相代替，但联合起来可以获得更好和更有效的结果。 两种可靠性分析经常
13、被用作隐患分析：FMEA、FMECA 可靠性预测用以建立组件或部件的失效率，或者建立失效概率。 隐患分析首先以一种定性的方式来识别风险、风险起因、以及与风险有关的隐患的重要性。,2018/7/16,23,三、隐患的定性和定量分析,1.定性分析 定性分析是对影响产品、系统、运行或者人员安全的所有因素的检查。分析涉及对照预先确定的一系列可接受性参数对设计进行检验。所有可能的情况和事件及其后果都要考虑，以确定它们是否能引起或促成伤害或损失。 定性分析总是在定量分析之前。,2018/7/16,24,2.定量分析 定量分析比定性分析在逻辑上更进一步。它更加精确地估计事故发生的概率。这是通过计算概率来完成
14、的。 在定量分析中，风险概率是用数字或者比率来表示的。它的目标是通过对重大风险的最小化、消除或者建立控制以达到最大的安全性。重大风险是通过工程评估、经验和相似设备的历史文献来识别的。,2018/7/16,25,3.事件发生的可能性相关概念,概率表示故障、差错或者事故是可能的，即使它可能在一段时间或者相当多次操作中极少发生。如：飞机发动机失效的可能性精确地预测为十万分之一。要点：不要为了与有限的数据匹配而去改变预测。,概率基于过去特定经验而得到的统计预测。要点：做结论时要考虑到概率的统计本质。,2018/7/16,26,3.事件发生的可能性相关概念,有时数据只在特定的环境下有效。如：鸟击飞行事故
15、。要点：寻找能影响基于统计数字的重要变量。,可靠性预测是根据设备在一定的时间段里和规定的参数范围内的操作情况做出的。要点：一定要搞清楚应用于风险分析中的概率代表的是什么条件。,2018/7/16,27,3.事件发生的可能性相关概念,即使在设备的可靠性很高的情况下，人为差错也会造成破坏性的后果。如：装好子弹的步枪的可靠性是很高的，但是有很多人在清洗、携带或者玩耍时被致死或致伤。要点：要考虑人为差错对事故概率估计的影响。,可靠性预测的可信度是基于原始数据的取样大小的。要点：了解预测数据的来源，考虑数据的可信度。,2018/7/16,28,3.事件发生的可能性相关概念,对电子部件的可靠性预测可以假设
16、一个用指数表示的失效分布格局。要点：已有磨损迹象的系统的风险要比没有磨损迹象的系统难于做定量分析。,2018/7/16,29,4.初步隐患分析（PHA: Preliminary Hazard Analysis ）,初步隐患分析（PHA）是系统设计阶段或设备购置规划与及要求的知道阶段中隐患的起始工作。它也可以在运行的系统上实施用来对安全状态进行初步检查。PHA的目的不是影响所有隐患的控制，而是充分辨认隐患状态，连同所有伴随的系统征候。 PHA工作应该从尽可能早的阶段开始，并在每一个后续阶段进行更新。,2018/7/16,30,PHA包括的内容：, 对分析中的系统进行尽可能完整的描述，它将如何使用
17、，与现有系统的接口。如果在开发前已经编制了运行环境文件，它就可以成为系统描述的基础。 查看相关历史安全经验（从相似系统中得到的教训）。 基本能源分类清单 调查各种能源，以确定为控制它们所做的规定是否有效。 确认系统必须遵守的关于人身安全、环境隐患和有毒物质的要求以及其他规章制度。 纠正措施。,2018/7/16,31,PHA在确认和评估隐患分析时考虑的内容,1、有隐患的部件(如：燃料，推进剂，激光，爆炸物，有毒物质，有隐患的建筑材料，压力系统和能源）2、各种系统组件之间的安全接口（如：材料兼容性，电磁干扰，硬件和软件的控制）。必须考虑软件对子系统/系统事故的潜在影响因素。3、环境制约，包括操作
18、环境（如：电击，振动，噪音，静电等）,2018/7/16,32,PHA在确认和评估隐患分析时考虑的内容,4、操作，测试，维护和紧急程序（如：人为因素工程，照明要求，噪声或辐射对人的工作影响，海上营救等）5、设施、保障设备以及训练6、与安全有关的设备，防护装置和可能代替的方法（如：互锁装置，系统冗余度，人身防护装置，工业通风系统，噪音和辐射屏蔽）,2018/7/16,33,PHA例子,操作：把一个3吨重的机器从一幢建筑物移到另一幢建筑物起点：机器在其原位置建筑物A终点：机器在其新位置建筑物A,2018/7/16,34,2018/7/16,35,5、故障隐患分析,故障隐患分析方法是一种推导式分析方
19、法，这种方法可以专门用来做定性分析。或者有必要，可以扩充为定量分析方法。故障隐患分析要求对子系统进行详细的调查以判断部件隐患模式，引起这些隐患的原因和对子系统及其操作的影响。 这一分析类型被称为FMEA及FMECA FMEA及FMECA与故障隐患分析的主要不同之处在于分析的深度不同。FMEA及FMECA主要关注的是所有的故障及其影响，而故障隐患分析的任务是仅考虑和安全有关的那些影响。,2018/7/16,36,进行故障隐患分析，了解并理解系统的特性：设备用途操作限制安全和失效的界线实际失效模式及其发生概率的测定方法,2018/7/16,37,故障隐患分析程序步骤：,1、把系统按功能或条块分成易
20、于有效操作的模块。2、然后对系统和每一子系统的功能图表，草图，工程图进行审查，一确定它们之间的关系以及组成部件的相互关系。这项审查可以通过准备和使用框图来实现。3、当进行部件的一级分析时，应事先为每个模块列出一份完整的部件及其功能的表格。对于分析须在功能层面和条块层面进行的情况，这个表格是供最低层次的分析使用的。4、审查影响系统的操作和环境压力，看其是否对系统及其部件有负面效应。5、通过对工程图和功能表的分析确定可能发生并影响部件的重大失效机制。随后考虑子系统故障失效的影响。,2018/7/16,38,故障隐患分析程序步骤：,6、之后确认可引起子系统各种可能的失效机制的单个部件失效模式。7、列
21、出影响组件和部件的所有条件，用已显示是否存在因操作、压力、人的行为或综合因素而增加失效或损坏可能性的特殊时期。8、给风险确定类型9、应当列出消除或者控制风险的预防性或纠正措施。10、输入初始概率11、实施一项初步关键程度分析,2018/7/16,39,故障隐患分析的局限：,1、一个子系统很可能发生并不导致事故的失效。2、这一分析方法主要通常集中于硬件故障，较少涉及软件故障，而且对人为因素关注不够。3、很少考虑环境条件的出现可能性。4、导致硬件隐患的故障率忽略了由不标准加工过程带来的潜在缺陷。5、数字分析过分精确。,2018/7/16,40,6、故障树分析：FTA,FTA提供了一种评估和控制隐患
22、的标准方法。从安全到管理中的一系列问题都能运用FTA加以解决。FTA使用了定性法，也使用了定量法来确定系统中关于安全操作的部位。故障树分析是一种推论式的分析工具，用来研究一些不期望出现的时间，诸如发动机故障。这个演绎推断过程始于一个明确规定的不期望出现的事件（通常是个假定的事故条件），然后依次考虑所有可能导致或促使不期望事件发生的已知事件、故障和其他情况。,2018/7/16,41,FTA分析步骤：,1、首先假设系统的状态，确认并且明确写出位于最上层的不期望出现事件。这一步骤通常借助初步隐患分析和初步隐患清单来完成，或者通过查阅设计图表，流动图等。2、把故障树的顶层自上而下地展开，以确定引起上
23、一层事件所需的最少中间故障及故障组合或事件。这些逻辑关系是通过应用标准化的FTA逻辑符号及图形表示出来的。3、继续自上而下的展开过程，直至为每个分支找到根本原因，和或直到人为进一步的分解没有必要。,2018/7/16,42,FTA分析步骤：,4、给故障树中每个分支的最低层事件确定故障率，这项工作可以通过预测、分配或者历史数据来完成。5、利用布尔逻辑给故障树建立一个布尔方程，然后估算出不希望出现的顶层事件的概率。6、与系统要求相比较。如果没有达到要求，就应该实施校正措施。校正措施从再设计到改进分析各不相同。,2018/7/16,43,发动机故障树,2018/7/16,44,说明：,在这个例子中，
24、有三个可能的发动机故障原因：燃油流动、冷却剂、点火故障。通过对故障树的观察，还可以确定导致这三种原因的其他因素和综合因素。根据已有的数据，可以确定每个事件的发生概率。可以列出代数式求出顶层事件的发生概率。再把这个概率与可接受的阀值相比较，确定有无必要及怎样采取措施。故障树分析是通过自上而下的顺序推导出来的。这是一种演绎过程，因为它是考察“起因”路径中的事件组合的，与归纳法不同。,33,（5）氧化剂和有机过氧化物,a 氧化剂指处于高氧化态，具有强氧化性，易分解并放出氧和热量的物质，包括含有过氧基的无机物。其本身不一定可燃，但能导致可燃物的燃烧，能与松软的粉末状可燃物组成爆炸性混合物，对热、振动或
25、摩擦较敏感。,b 有机过氧化物指分子组成中含有过氧基的有机物，其本身易燃易爆，极易分解，对热、振动或摩擦极为敏感。,34,（6）毒害品和有毒品感染性物品,指进入肌体后，累积达一定的量，能与体液和器官组织发生生物化学作用或生物物理学变化，扰乱或破坏肌体的正常生理功能，引起某些器官和系统暂时性或持久性的病理改变，甚至危及生命的物品。经口摄取的半数致死量：固体LD50500mg/Kg ，液体LD502000mg/Kg ；粉尘、烟雾及蒸气吸人的半数致死浓度LC5010mg/L的固体或液体；经皮肤接触24h，半数致死量LD502000mg/Kg,（7）放射性物品,指放射性比活度大于7.4104Bq kB
26、,的物品。,35,（8）腐蚀品,腐蚀品系指能灼烧人体组织，并对金属等物品造成损坏的固体或液体，即与皮肤接触在4小时内出现可见坏死现象，或温度在55 时，对20号钢的表面均匀年腐蚀率超过6.25mm/a的固体或液体。,按化学性质可分为酸性腐蚀品、碱性腐蚀品及其他腐蚀品三项。,2018/7/16,48,7、共同原因失效分析,共同原因失效分析是故障树分析的一种延伸，用于识别造成各部件失效的潜在依存关系的“偶联因素”。故障树中基本事件最小的割集通过开发矩阵表来检查，以确定这些故障是否和环境、位置、次要因素或质量控制等共同因素有关。共因故障分析是理解故障树分析中事件及其原因之间的关系提供了一个更好的办法
27、。它分析的是安全系统中的实际冗余度。,2018/7/16,49,共同原因分析步骤：,1、建立一组关键树群。 这项工作要用FMECA、FTA进行分析； FTA用于识别关键功能，FMECA用于识别关键部件。2、识别上1关键树群中的通用部件。 这些部件可能是冗余的处理器，他们共用一个电源或者共享由同一液压泵供压的冗余液压线路。3、确认一些可信的故障模式，如：短路、漏油、不规范的操作步骤。4、确认可信的共因故障模式。5、总结分析结果，其中应包括纠正措施的识别。,2018/7/16,50,8、能量跟踪分析,能量跟踪分析是针对所有可能引起事故的未控制的和已控制的能量的。包括公共设施的电源和航空器燃料。能源
28、引发事故的情况： 可能与产品或过程有关：如易燃性或电击； 可能和产品/过程相悖的人员行为有关：靠近易燃流体吸烟 与系统周围的物品/条件或重要设备有关：车辆或滑行中的飞机；,2018/7/16,51,能量跟踪分析目的,能量跟踪分析的目的是确认所有隐患和引起隐患的直接原因。隐患及其原因一旦呗确认，就可作故障树的顶层事件或者用来验证故障隐患分析的完整性。因此，能量跟踪分析方法可以辅助，但不能代替其他分析，如：FTA、SCA、ETA、FMECA等。,2018/7/16,52,能量跟踪分析程序的步骤：,1、确认要保护的资源（人或设备）。2、确认系统、子系统及安全关键部件。3、确认每一系统/子系统/部件都
29、要经历的运行阶段，如飞行前、滑行、起飞、巡航、着陆，最好为每个运行阶段分别报告隐患分析结果。4、识别子系统或部件在每个运行阶段的运行状态。5、识别与每个子系统和每种运行状态相关的能源或能的传输方式。,2018/7/16,53,能量跟踪分析程序的步骤：,6、确认每种能源的能量释放机制。7、对照隐患类型检查表，检查每个部件、能源或传输方式。8、识别和每种能量释放机制有关的原因。9、识别由具体的能量释放机制释放的能量可能引发的潜在事故。10、假设上一步骤识别的事故发生，界定可能出现的隐患后果。,2018/7/16,54,能量跟踪分析程序的步骤：,11、评定潜在的事故的隐患类别（如：关键性的、灾难性的
30、、或其他性质的）12、识别部件与能源或传输方式所牵连的关乎被保护资源的特定隐患。13、推荐控制隐患条件的措施。14、详细说明验证程序，确保控制措施已被有效实施。,2018/7/16,55,概述FMECA的定义、目的和作用FMECA的方法FMECA的步骤系统定义故障模式影响分析危害性分析危害性矩阵图FMECA输出与注意的问题应用案例,9、失效模式影响和严重度分析：FMECA,2018/7/16,56,概述,元部件的故障对系统可造成重大影响灾难性的影响挑战者升空爆炸发动机液体燃料管垫圈不密封致命性的影响起落架上位锁打不开以往设计师依靠经验判断元部件故障对系统的影响依赖于人的知识和工作经验系统的、全
31、面的和标准化的方法FMECA设计阶段发现对系统造成重大影响的元部件故障设计更改、可靠性补偿是可靠性、维修性、保障性和安全性设计分析的基础,2018/7/16,57,FMECA的概念,FMECA的定义故障模式影响及危害性分析(Failure Mode ,Effects and Criticality analysis , 简记为FMECA)是分析系统中每一产品所有可能产生的故障模式及其对系统造成的所有可能影响，并按每一个故障模式的严重程度及其发生概率予以分类的一种归纳分析方法。FMECA是一种自下而上的归纳分析方法；FMEA和CA。FMECA的目的从产品设计（功能设计、硬件设计、软件设计）、生产
32、（生产可行性分析、工艺设计、生产设备设计与使用）和使用发现各种影响产品可靠性的缺陷和薄弱环节，为提高产品的质量和可靠性水平提供改进依据。,2018/7/16,58,FMECA作用,保证有组织地定性找出系统的所有可能的故障模式及其影响，进而采取相应的措施。为制定关键项目和单点故障等清单或可靠性控制计划提供定性依据。为可靠性（R）、维修性（M）、安全性（S）、测试性（T）和保障性（S）工作提供一种定性依据。为制定试验大纲提供定性信息。为确定更换有寿件、元器件清单提供使用可靠性设计的定性信息。为确定需要重点控制质量及工艺的薄弱环节清单提供定性信息。可及早发现设计、工艺中的各种缺陷。,2018/7/1
33、6,59,FMECA方法分类,2018/7/16,60,在产品寿命周期各阶段的FMECA方法,2018/7/16,61,FMECA的步骤,2018/7/16,62,系统定义,确定系统中进行FMECA的产品范围产品层次示例约定层次规定的FMECA的产品层次初始约定层次系统最顶层最低约定层次系统最底层描述系统的功能任务及系统在完成各种功能任务时所处的环境条件任务剖面、任务阶段及工作方式功能描述制定系统及产品的故障判据、选择FMECA方法等故障判据分析方法,2018/7/16,63,故障模式影响分析FMEA,2018/7/16,64,3危害性分析(CA),分类：定性和定量 CA表,2018/7/16
34、,65,危害性矩阵图,2018/7/16,66,实施FMECA应注意的问题,强调“谁设计、谁分析”的原则“谁设计、谁分析”的原则，也就是产品设计人员应负责完成该产品的FMECA工作，可靠性专业人员应提供分析必须的技术支持。实践表明，FMECA工作是设计工作的一部分。“谁设计、谁分析”、及时改进是进行FMECA的宗旨，是确保FMECA有效性的基础，也是国内外开展FMECA工作经验的结晶。如果不由产品设计者实施FMECA，必然造成分析与设计的分离，也就背离了FMECA的初衷。,2018/7/16,67,实施FMECA应注意的问题,重视FMECA的策划实施FMECA前，应对所需进行的FMECA活动进
35、行完整、全面、系统地策划，尤其是对复杂大系统，更应强调FMECA的重要性。其必要性体现在以下几方面：结合产品研制工作，运用并行工程的原理，对所需的FMECA进行完整、全面、系统地策划，将有助于保证FMECA分析的目的性、有效性，以确保FMECA工作与研制工作同步协调，避免事后补做的现象。对复杂大系统，总体级的FMECA往往需要低层次的分析结果作为输入，对相关分析活动的策划将有助于确保高层次产品FMECA的实施。FMECA计划阶段事先规定的基本前提、假设、分析方法和数据，将有助于在不同产品等级和承制方之间交流和共享，确保分析结果的一致性、有效性和可比性。,2018/7/16,68,实施FMECA
36、应注意的问题,保证FMECA的实时性、规范性、有效性实时性。FMECA工作应纳入研制工作计划、做到目的明确、管理务实；FMECA工作与设计工作应同步进行，将FMECA结果及时反馈给设计过程。规范性。分析工作应严格执行FMECA计划、有关标准/文件的要求。分析中应明确某些关键概念，比如：故障检测方法是系统运行或维修时发现故障的方法；严重度是对故障模式最终影响严重程度的度量，危害度是对故障模式后果严重程度的发生可能性的综合度量，两者是不同的概念，不能混淆。有效性。对分析提出的改进、补偿措施的实现予以跟踪和分析，以验证其有效性。这种过程也是积累FMECA工程经验的过程。,2018/7/16,69,实
37、施FMECA应注意的问题,FMECA的剪裁和评审FMECA作为常用的分析工具，可为可靠性、安全性、维修性、测试性和保障性等工作提供信息，不同的应用目的可能得到不同的分析结果。各单位可根据具体的产品特点和任务对FMECA的分析步骤、内容进行补充，剪裁，并在相应文件中予以明确。,2018/7/16,70,实施FMECA应注意的问题,FMECA的数据故障模式是FMECA的基础。能否获得故障模式的相关信息是决定FMECA工作有效性的关键。若进行定量分析时还需故障的具体数据，这些数据除通过试验获得外，一般是需要通过相似产品的历史数据进行统计分析。有计划有目的地注意收集、整理有关产品的故障信息，并逐步建立
38、和完善故障模式及频数比的相关故障信息库，这是开展有效的FMECA工作的基本保障之一。FMECA应与其他分析方法相结合FMECA虽是有效的可靠性分析方法，但并非万能。它不能代替其他可靠性分析工作。应注意FMECA一般是静态的、单一因素的分析方法。在动态方面还很不完善，若对系统实施全面分析还需与其他分析方法（如FTA、ETA等）相结合。,2018/7/16,71,故障模式,故障与故障模式故障是产品或产品的一部分不能或将不能完成预定功能的事件或状态（对机械产品也称失效）故障模式是故障的表现形式，如起落架撑杆断裂、作动筒间隙不当、收放不到位等产品功能与故障模式一个产品可能具有多种功能起落架：支撑、滑跑
39、、收放等每一个功能有可能具有多种故障模式支撑：降落时折起滑跑：震动收放：收不起、放不下,2018/7/16,72,典型故障模式,GJB1391故障模式影响及危害性分析,2018/7/16,73,机械产品典型故障模式,故障模式可分为以下七大类：损坏型：如断裂、变形过大、塑性变形、裂纹等。 退化型：如老化、腐蚀、磨损等。松脱性：松动、脱焊等失调型：如间隙不当、行程不当、压力不当等。 堵塞或渗漏型：如堵塞、漏油、漏气等。 功能型：如性能不稳定、性能下降、功能不正常。其他：润滑不良等。,2018/7/16,74,故障原因,直接原因：导致产品功能故障的产品自身的那些物理、化学或生物变化过程等，直接原因又
40、称为故障机理。间接原因：由于其他产品的故障、环境因素和人为因素等引起的外部原因。例如起落架上位锁打不开直接原因：锁体间隙不当、弹簧老化等间接原因：锁支架刚度差,2018/7/16,75,任务阶段与工作方式,任务剖面又由多个任务阶段组成起落架任务阶段：起飞着陆空中飞行地面滑行工作方式：可替换有余度上位锁开锁：液压、手动钢索、冷气因此，在进行故障模式分析时，要说明产品的故障模式是在哪一个任务剖面的哪一个任务阶段的什么工作方式下发生的。,2018/7/16,76,故障影响,故障影响局部影响:某产品的故障模式对该产品自身和与该产品所在约定层次相同的其他产品的使用、功能或状态的影响高一层次影响:某产品的
41、故障模式对该产品所在约定层次的高一层次产品的使用、功能或状态的影响最终影响:指系统中某产品的故障模式对初始约定层次产品的使用、功能或状态的影响,2018/7/16,77,严重度类别定义(GJB1391),2018/7/16,78,故障检测方法,故障检测方法一般包括目视检查、离机检测、原位测试等手段：自动传感装置传感仪器音响报警装置显示报警装置故障检测一般分为事前检测与事后检测两类，对于潜在故障模式，应尽可能设计事前检测方法。,2018/7/16,79,补偿措施,设计补偿措施产品发生故障时，能继续安全工作的冗余设备安全或保险装置(如监控及报警装置)可替换的工作方式(如备用或辅助设备)可以消除或减
42、轻故障影响的设计或工艺改进(如概率设计、计算机模拟仿真分析和工艺改进等)操作人员补偿措施特殊的使用和维护规程，尽量避免或预防故障的发生一旦出现某故障后操作人员应采取的最恰当的补救措施,2018/7/16,80,故障概率等级或数据来源,故障概率等级定性分析方法A级-经常发生 20%B级-有时发生 10% 20%C级-偶然发生 1% 10%D级-很少发生 0.1% 1%E级-极少发生 .0.1%数据来源预计值分配值外场评估值等,2018/7/16,81,某型军用教练飞机升降舵系统,应用举例,发动机部分FMECA,2018/7/16,82,四、危险源辨识,危险源及其辨识的概念两类危险源理论危险源控制
43、危险源辨识技术,罗云，风险分析与安全评价，116-128,2018/7/16,83,危险源及其辨识的概念,1. 危险源的定义长期或临时地生产、加工、搬运、使用或储存危险物质，且危险物的数量等于或超过临界量的单元。此处的单元指一套生产装置、设施或场所；危险物指能导致火灾、爆炸或中毒、触电等危险的一种或若干物质的混合物；临界量是指国家法律、法规、标准规定的一种或一类特定危险物质的数量。,2018/7/16,84,2. 危险源的分类一般工业生产作业过程的危险源分为5类：易燃、易爆和有毒有害物质危险源；锅炉及压力容器设施类危险源；电气类设施危险源；高温作业区危险源；辐射类危害类危险源,2018/7/1
44、6,85,3. 危险源辨识（1）概念：Hazard Identification是发现、识别系统中危险源的工作。这是危险源控制的基础，只有辨识了危险源之后才能有的放矢地考虑如何采取措施控制危险源。以前人们主要根据以往的事故经验进行危险源辨识工作；由于危险源是“潜在的”不安全因素，比较隐蔽，所以危险源辨识是件非常困难的工作，因而需要许多知识和经验。,2018/7/16,86,（2）进行危险源辨识所必须的知识和经验：关于对象系统的详细知识，诸如系统的构造、性能、运行条件等，系统中能量、物质和信息的流动情况等；与系统设计、运行、维护等有关的知识、经验和各种标准、规范、规程等；关于对象系统中的危险源及
45、其危害方面的知识。,2018/7/16,87,（3）危险源辨识的目的通过对系统的分析，界定出系统中的哪些部分、区域是危险源，其危险的性质、危害程度、存在状况、危险源能量与物质转化为事故的转化过程规律、转化的条件、触发因素等，以便有效地控制能量和物质的转化，使危险源不至于转化为事故。,2018/7/16,88,（4）危险源辨识方法分类对照法与有关的标准、规范、规程或经验相对照来辨识危险源。对照法是一种基于经验的方法，适用于以往经验可供借鉴的情况。安全分析法从安全角度进行的系统分析，通过揭示系统中可能导致系统故障或事故的各种因素及其相互关联来辨识系统中的危险源。辨识可能带来严重事故后果的危险源，也
46、可用于辨识没有事故经验的系统的危险源。,2018/7/16,89,两类危险源理论,1. 第一类危险源是指作用于人体的过量的能量或干扰人体与外界能量交换的危险物质。实际生产中往往把产生能量的能量源或拥有能量的能量载体以及产生、储存危险物质的设备、容器或场所看作第一类危险源。2. 第二类危险源是指导致能量或危险物质的约束或限制措施破坏或失效的各种不安全因素。为保证第一类危险源的安全运转，必须采取措施约束、限制能量。,2018/7/16,90,3. 两类危险源关系第一类危险源是事故发生的前提，它在发生事故时释放出的能量或危险物质是导致人员伤害或财物损失的能量主体，并决定事故发生可能性的大小。两类危险
47、源的危险性决定了危险源的危险性。第一类危险源的危险性是固有的。两类危险源的危险性随着技术水平、管理水平及人员素质的不同而不同，是可变的,2018/7/16,91,危险源控制,Hazard Control是利用工程技术和管理手段消除、控制危险源，防止危险源导致事故、造成人员伤害和财产损失的工作。危险源控制的基本理论依据是能量意外释放论。危险源控制技术包括防止事故发生的安全技术和减少或避免事故损失的安全技术。前者在于约束、限制系统中的能量，防止发生意外的能量释放；后者在于避免或减轻意外释放的能量对人或物的作用。管理也是危险源控制的重要手段。通过系统安全管理活动，控制系统中人、物和环境因素，以有效控
48、制危险源。,2018/7/16,92,危险源辨识技术,1. 危险区域调查在某个生产企业内部是否存在危险源，需要通过一定的方法找到并确定下来。常用的方法有：根据国家、行业的有关规程和标准进行大检查；根据以往事故案例寻找线索；根据危险工艺、设备检查表确定。环境条件；生产工艺过程；生产设备、装置；有害作业部位；管理设施、事故应急抢救设施和辅助生产、生活卫生设施。,2018/7/16,93,2. 危险源区域的划分原则把产生能量或具有能量的物质、操作人员作业区域、产生聚集危险物质的设备、容器作为危险源区域。划分原则：按设备、生产装置及设施划分；按独立作业的单体设备划分；按危险作业区域划分。按作业区域划分：有发生爆炸、火灾危险的场所；有提升系统危险的场所；有被车辆伤害危险的场所；有高处坠落危险的场所；,2018/7/16,94,
