魯守榮

（無錫城市職業(yè)技術學院，江蘇 無錫 214000）

組件架構系統(tǒng)的失效模式和影響分析

魯守榮

（無錫城市職業(yè)技術學院，江蘇 無錫 214000）

文章對安全性分析技術失效模式和影響分析（Failure Mode and Effect Analysis，F(xiàn)MEA）在組件架構系統(tǒng)中的應用和處理進行了研究?；诮M件構造系統(tǒng)的特點和FMEA方法，構造了基于消息序列圖確定FMEA的失效模式。

危害分析；失效模式與影響分析；故障樹；組件；組件模型

1　概述

安全性是指系統(tǒng)不存在由于電子、電氣、機械等故障引起的損害而導致無法接受的風險，因為這一性能的重要性，安全可靠性已迅速成為安全相關系統(tǒng)的關鍵因素。為了實現(xiàn)系統(tǒng)工作安全、可靠穩(wěn)定，在系統(tǒng)的開發(fā)階段就要進行危害分析，它是確保系統(tǒng)安全可靠的重要措施。常用的也最重要的分析方法有故障樹分析（Fault Tree Analysis，F(xiàn)TA）、失效模式與影響分析［1］（Failure Model Effects Analysis，F(xiàn)MEA）、事件樹分析（Event Tree Analysis，ETA）和危險與可操作性分析（Hazard and Operability Analysis，HAZOP），等等［2］。其中，失效模式和效應分析（FMEA）廣泛應用在工業(yè)，特別是汽車工業(yè)中。FMEA方法能系統(tǒng)地研究整個系統(tǒng)組成部件的故障，評估對系統(tǒng)的各種功能的組件的每個故障模式的影響，以及識別故障模式采取有效的控制策略，提高系統(tǒng)的可靠性。失效模式、影響及危害性分析（Failure Mode， Effect， and Criticality Analysis，F(xiàn)MECA）是FMEA的擴展，是在FMEA的基礎上增加了至少兩列的信息，如：嚴重程度（Severity）和風險等級（Risk Class），可按失效模式嚴酷度大小排序，以區(qū)分采取對策的優(yōu)先次序。

本文主要研究FMEA在在組件架構系統(tǒng)中的應用，文章結構安排：第2節(jié)闡述了FMEA的構成和基本思想，它是后續(xù)內容的基礎；緊接著在第3節(jié)進行了組件架構的FMEA分析，構建了FMEA的失效模型和效應分析；最后第4節(jié)總結了FMEA在組件架構系統(tǒng)中的應用及在該領域的貢獻。

2　失效模式與影響分析（FMEA）

FMEA采用自底向上的分析路徑，目的是通過確定底層模塊的失效模式，追蹤其對上面各層次的影響，從而發(fā)現(xiàn)系統(tǒng)的故障原因、潛在故障以及薄弱環(huán)節(jié)，達到提高系統(tǒng)的安全性和可靠性的目的。FMEA分析應盡可能在系統(tǒng)開發(fā)周期的早期階段進行，以獲得消除或減少失效模式的最佳時機。確定失效影響時，必須考慮其導致的高一層次失效和可能的相同層次失效，指出任何可能的對高一層次有影響的失效模式，直到識別出系統(tǒng)的最終影響。歸納FMEA的組成元素如圖1所示。

圖1 FMEA 列表項目

組件（Component）：組件用來描述完整的系統(tǒng)、子系統(tǒng)或不可分割系統(tǒng)的元件。任何組件都有一種或多種功能。功能函數(shù)（Function）：任何組件都執(zhí)行至少一個功能。一個功能可以是另一個功能的組成部分。當功能不能完成其任務時將發(fā)生故障，所有可能發(fā)生的函數(shù)的故障通過故障模型相關聯(lián)。失效模式（Failure_mode）：所有可能出現(xiàn)的故障構成了故障模式。每個故障模式有引發(fā)原因和影響效果?？刂品椒ǎ–ontrol_method）：控制方法履行識別、檢測故障模式。檢測在很大程度上依賴于所執(zhí)行的控制方法的效應。它給出控制方法去發(fā)現(xiàn)已產生的故障。識別能夠預防或減輕失效模式的影響和采取的措施。風險優(yōu)先編號（Risk_Prority_Nummber）：即嚴酷度等級，表示了風險對系統(tǒng)的危害程度，通常用整數(shù)范圍為1～10表示，危害越大，風險優(yōu)先數(shù)（RPN）越高。風險優(yōu)先編號是對失效模式影響系統(tǒng)或產品使用的嚴重程度的評價。遏制行為（Containment_action）：采取的必要措施，例如：一個或多個單元失效時，能使系統(tǒng)繼續(xù)正常運行的冗余產品；備選的運行方式；監(jiān)控或報警裝置；允許有效運行或限制損害的其他手段。

3　組件架構系統(tǒng)的FMEA設計

組件系統(tǒng)的體系架構是由層次結構的組件模型構成的［5］，并且系統(tǒng)運行過程中組件相互交換信息。其中組件可能是基本組件（不能進一步細化），也可以是復合組件。與外界環(huán)境或組件間的信息交互使用基于端口的接口進行通訊。交換的信息可以在同一層次，也可在不同層，組件也可直接與外界環(huán)境中進行通訊［3-4］。

在這樣的基于組件的架構中，一個組件的輸入故障可能來自于連接到它的組件輸出故障。因此，在故障分析時，定義3種故障傳播的方式：

（1）不正確的服務可以由一個外部的組件誘發(fā)，通過端口直接傳播到輸出信息。這包括故障模式變換或轉化成另一種形式的故障模式；（2）可能由組件本身產生的不正確的服務；（3）不正確的服務傳遞到該組件的端口，該組件以某種方式來阻止使得沒有故障被傳播到其他端口。

3.1 基于消息序列圖確定FMEA失效模式

在FMEA中最重要的是確定子系統(tǒng)和系統(tǒng)功能可能出現(xiàn)的故障，以及分析可能的故障的后果。要確定一個組件模型可能出現(xiàn)的錯誤定義為FMEA失效模式。FMEA失效模式可以利用組件和組件連接器的狀態(tài)獲得，在狀態(tài)圖中可以鋪獲到組件的執(zhí)行行為［4-5］，組件的行為又是通過信息交互改變其狀態(tài)來完成實現(xiàn)的。由此， 行為可以由序列圖（Sequence Diagram）表示。在信息交互過程中，組件間的相互作用通過信息的交換，每一個交互連接著該組件的請求和另一個組件的接收和彼此的操作?；诮M件交互信息的基本屬性和特征，可能的失效模式定義如下：

信息計劃失效：在信息交互的過程中，一個非計劃的消息的發(fā)送就是一個錯誤，通常發(fā)生在人機接口。此錯誤表示為發(fā)送消息不屬于計劃的故障模式； 信息命令失效：一個要發(fā)送許多消息的對象可能會因為執(zhí)行了錯誤的命令漏掉一個或幾個，這就可以表示為信息命令錯誤模式； 信息對象失效：某個消息是由一個對象發(fā)送到另一個應該接受它的對象中，此時接收器必須存在，但可能沒有接收對象，這種類型的錯誤被表示為接收對象失敗模式； 信息事件失效：與發(fā)送和接收事件相關的某些對象具有時間的限制，對于這些事件，時間是一個基本的要素，時間的提前和延誤都會導致錯誤，這種類型的錯誤被表示為信息時間故障模式； 信息參數(shù)失效：信息或信號參數(shù)的發(fā)出和接收者必須在數(shù)量、類型、和值等方面一一對應，參數(shù)失配出現(xiàn)錯誤表示為信息參數(shù)失效模式； 信息應答失效：發(fā)送和接收對象之間的應答關系，必須允許和應答消息的發(fā)送和接收，缺乏發(fā)送和接收對象之間的聯(lián)系信息應答失效模式（發(fā)送者和接收者對象之間的聯(lián)系缺乏）；信息傳送或處理時間失效：信息的處理時間影響著接收和發(fā)送，處理的延遲會導致錯誤，這錯誤類型表示為信息處理失效模式（一個消息在指定的時間處理限制）。

3.2 失效影響

失效影響是失效模式對系統(tǒng)的運行、功能或狀態(tài)方面導致的后果，可分為局部影響和系統(tǒng)影響［5］。局部影響是指失效模式對所考慮的系統(tǒng)單元的影響，應描述每個可能的失效對系統(tǒng)輸出的影響。確定局部影響的目的是為評價已有的備選措施或建議性糾正措施提供判斷依據(jù)。在某些的場合中，可能沒有失效模式的局部影響。系統(tǒng)影響是指最終影響，確定最終影響時，應通過所有中間層次的分析來評價和定義失效對系統(tǒng)最高層次的影響，所描述的最終影響可以是多重失效的后果。

分析從最低層的組件開始調查，然后找出每一個故障模式，對每個組件和每種故障進行分析，從而確定故障是如何影響上一級子系統(tǒng)，以及對整個系統(tǒng)的影響。除了列出可能的原始故障影響，不正確的輸入能導致增添任意數(shù)量的影響。在進行失效影響分析時，需要區(qū)分故障是原始錯誤還是由于失效模式的影響或是一些引起不正確的輸入。原始故障的分析可作為局部失效模式。由此，構造的失效影響如表1所示，不正確的輸入對下一級（NHL）的影響如表2所示，高一層次上的錯誤可能來自低層不正確的輸入或來自任何其他方面的信息接收。

表1 本地失效影響

表2 在NHL中不正確輸入的影響

在系統(tǒng)級層次，失效模式可能來自于NHL，也可能來自原始錯誤模型，該故障的影響被指定為本地故障模式。構造的表3給出了NHL導致系統(tǒng)故障的失效影響。

表3 NHL導致系統(tǒng)故障的失效影響級別

4　結語

FMEA方法能有效地研究整個系統(tǒng)組成部件的故障，評估構成系統(tǒng)各種功能的組件的故障模式的影響，以及識別故障模式采取有效的控制策略和采取的有效措施，是滿足客戶的需求，提高系統(tǒng)的安全性、可靠性和可維護性的一種重要技術。為了將危害分析技術FMEA應用到組件架構的系統(tǒng)開發(fā)過程中，我們對組件架構系統(tǒng)的組成、信息傳遞和FMEA的失效模式以及失效影響進行了詳細的分析，進行了組件架構系統(tǒng)的FMEA設計，它有助于系統(tǒng)地確定可能的失效模式，以及哪些危險、故障是最嚴重的，哪些組件需要更詳細的安全性分析。

［1］中華人民共和國國家標準.系統(tǒng)可靠性分析技術—失效模式和影響分析（FMEA）程序，GB/T7826-200X/IEC60812［S］.中華人民共和國國家標準，2006.

［2］PODOFILLINI L，SUDRET B，STOJADINOVIC B，et al.Safety and Reliability of Complex Engineered Systems［M］. Netherlands：ESREL CRC Press，2015.

［3］CRNKOVIC I. Component-based software engineering for embedded systems［C］.Software Engineering， 27th International Conference，2005（10）：712-713.

［4］SHOURONG L. Engineering of Safety-related and Embedded Real-time Systems［D］.Waabs：GCA-Verlag，2009.

［5］唐藝靈，趙晗濱. 基于組件技術的實時測控軟件開發(fā)［J］. 電子技術與軟件工程，2015（8）：84-85.

Failure mode and effect analysis of component architecture system

Lu Shourong
（Wuxi City College of Vocational Technology， Wuxi 214000， China）

In this paper， the application and processing of FMEA（Failure Mode and Effect Analysis）in the component architecture system are studied. Based on the feature of component construction system and FMEA method， the failure mode of FMEA based on message sequence diagram is constructed.

hazard analysis； Failure Mode and Effect Analysis（FMEA）； component； component model

魯守榮（1963— ），女，山東莒南，博士，教授；研究方向：安全關鍵系統(tǒng)，汽車電控系統(tǒng)。