孔雷星，冷學敏，馬季軍，葛茂艷，王 田

（上海空間電源研究所，上海 200245）

0 引言

故障模式、影響及危害性分析（Failure Mode，Effect and Criticality Analysis，F(xiàn)MECA）是分析產品中每一個可能的故障模式并確定其對產品及上層產品所產生的影響，以及把每一個故障模式按其影響的嚴重程度予以分類的一種分析技術［1］。FMECA在FMEA 的基礎上增加了危害性分析（CA）的內容。FMEA 的主要作用是找出潛在的薄弱環(huán)節(jié)，盡可能早地發(fā)現(xiàn)設計、工藝過程中的各種缺陷，并提出改進措施，從而提高設計質量。20 世紀50 年代，F(xiàn)MEA 產生于美國航空業(yè)內，到60 年代正式用于美國航天領域。80 年代初，我國才開始引進FMEA，相繼頒布了一系列國家標準、軍用標準等［2-6］。FMECA 方法也廣泛應用于各行各業(yè)［7-12］，例如：質量安全管理、地鐵車輛、醫(yī)學、航空、航天和煙草企業(yè)等。更有學者對FMECA 的方法進行了深入研究［13-15］，例如接口FMECA、模糊FMEA 等。目前航天領域引用最多、使用最廣泛的為GJB/Z 1391—2006《故障模式、影響及危害性分析指南》，主要介紹了功能及硬件FMECA、軟件FMECA、損壞模式及影響分析、過程FMECA 的程序和方法，以及由中國空間技術研究院頒發(fā)的Q/W 1364—2012《航天器產品故障模式及影響》，主要介紹了不同層級產品開展設計FMEA 及過程FMEA 的程序及方法，并詳細介紹了冗余系統(tǒng)開展FMEA 的方法。依據(jù)以上兩個標準，型號中開展設計FMECA 基本能夠滿足工程的要求。但是，在型號工作中，F(xiàn)MECA工作并未完全發(fā)揮其作用，原因包括：1）原有的功能層次與結構層次框圖主要適用于具有簡單連接關系的系統(tǒng)中，難以滿足功能及連接關系越來越復雜的系統(tǒng)應用；2）原有的FMECA 主要側重于定性故障模式、故障原因等分析，對于定量分析缺乏有效的操作指導；3）原FMECA 中故障模式發(fā)生可能性劃分層級較粗，而現(xiàn)階段產品可靠性要求及生產制造水平等越來越高，較粗的劃分層級無法滿足使用需求；4）產品與產品之間的接口通常被認為高可靠而不進行分析，或由于接口的復雜性導致故障識別不到位，不全面?；谏鲜鲈颍現(xiàn)MECA 工作在型號實際應用中并未得到從上至下的重視，即使FMECA 工作主觀上被重視了，但部分設計師對FMECA 工作方法和程序不熟練，對產品或系統(tǒng)未進行分析就著手填寫FMECA 表格，導致分析層級混亂，表格填寫不規(guī)范，故障模式和故障原因分析不全。

針對以上4個突出的問題，本文提出改進FMECA的方法程序，包括3 方面：1）改進產品的功能和結構分析方法，確定FMECA 的分析范圍、識別功能及其設計要素；2）完善FMECA 分析表格，增加功能的量化指標要求，增加現(xiàn)行控制措施的分類；3）增加發(fā)生可能性的級別，通過增加繼承產品的失效情況可更有效地識別故障發(fā)生可能性，便于判斷采取改進措施后是否對設計提供了幫助。

1 改進FMECA 方法

1.1 確定分析范圍

FMECA 分析的首要工作是確定分析邊界，即確定哪些產品需要開展FMECA，哪些產品不開展，主要通過產品結構樹和結構框圖這兩種方法配合確定分析范圍。

產品結構樹是按照樹狀圖從上至下梳理產品的硬件組成，需要開展分析的產品用實框表示，不需開展分析的產品用虛框表示，如圖1 所示。是否開展FMECA 分析的原則通常包括以下兩項：1）外購件產品不需要開展分析，如商用電腦、集成芯片、霍爾傳感器、螺釘?shù)?。原因是對于使用者來說，只要外購件產品的功能和性能滿足要求，其接口能夠與系統(tǒng)匹配，不必了解外購件產品的內部組成關系，因此不需進行分析。2）功能單一且設計要素低（即性能指標少）的產品不需要開展分析，例如電連接器、導線、產品結構框架等。

圖1 結構樹示意圖Fig.1 Structure tree diagram

結構框圖是識別產品內外部及接口之間的交互關系的一種圖形，它既可以反映產品結構內部各零件之間的關系，也能反映產品與外部系統(tǒng)之間的關系，如圖2 所示。

結構框圖中的接口關系包括物理空間關系、能量傳遞關系、信息傳遞關系、物質交換關系和人機交互關系。對于空間電源系統(tǒng)來說，除了物質交換關系，其余的接口關系都涉及。

圖2 結構框圖示意圖Fig.2 Structural block diagram

結構框圖中的連接方式沒有特定的要求，但需要對每個連接關系進行準確的說明。通常，若兩個產品之間只有物理空間關系，用不帶箭頭的實線條表示，若沒有物理空間關系，用虛線條表示，用箭頭表示兩個產品之間的物質或能量或信息的傳遞方向。圖中的數(shù)字表示有物理空間關系及其他接口關系的具體表現(xiàn)形式，例如螺栓連接、壓裝、焊接、勾焊、導線連接、電連接器連接、熱傳遞、電能傳遞、信息傳遞等，并列表說明。

通過結構框圖可以清楚地表示產品與產品之間的接口關系，即使某產品不進行FMECA 分析，但其接口也能被表示出來，不會遺漏任何的接口。

1.2 功能及要求分析

FMECA 分析的另一項重要工作是針對分析對象開展功能分析，明確產品的功能及參數(shù)指標要求，主要采用功能樹和功能框圖這兩種工具來識別功能、功能的交互關系及功能的冗余情況。

功能樹分析以產品結構樹為基礎，以分析對象的功能為核心，向上和向下各分析一層，如圖3 所示。功能樹中需要關注以下幾點：1）分析對象的每一個功能單獨畫一棵功能樹，最后將上一層功能相同的功能樹合并，為分析對象的上級產品開展FMECA 提供信息；2）功能樹中需要明確表征該功能的參數(shù)指標；3）結構框圖中每個產品與產品之間的接口關系均要反映在功能樹中，例如圖中的組件1 和組件2；4）功能樹中需要給出兩個或多個沒有交互關系（沒有接口關系）的產品共同完成同一功能的情況，例如圖中的組件3 和組件4；5）從功能樹中將分析對象的功能及參數(shù)指標要求進行匯總，并形成表格。

圖3 功能樹示意圖Fig.3 Function tree diagram

功能框圖表示各功能之間的界面和接口的序列關系（輸入/輸出）。以功能樹為基礎，首先對分析對象（本級產品）的功能之間關系用功能框圖表示出來，即用一個頂層框圖來表示被分析的整個項目，再將每個本級功能的下級功能用功能框圖表示出來，即用若干張圖表示頂層框圖中某一確定功能的細節(jié)部分，功能框圖示意圖如圖4 所示。

與結構框圖類似，功能框圖中的接口關系包括能量傳遞關系、信息傳遞關系、物質交換關系，可以用不同的線型表示不同的接口關系。功能框圖中需要關注以下幾點：1）若建立一系列按層次劃分的功能框圖，則每個框圖應與相鄰層次框圖保持一致性；2）某一個功能框圖只能對應于與功能樹相應的同一層次；3）功能框圖應能描述出系統(tǒng)的冗余結構，為填寫FMECA 表格中的預防措施奠定基礎；4）針對不同的任務階段和工作模式，航天器產品應建立不同的功能框圖來表示全任務階段的各個狀態(tài)。

圖4 功能框圖示意圖Fig.4 Functional block diagram

1.3 FMECA 表格改進

經過對產品的結構和功能分析，下一步可以填寫FMECA 表格。為了更加凸顯FMECA 分析的作用，在現(xiàn)有型號表格的基礎上進行完善，見表1。

表1 FMECA 表格Tab.1 FMECA form

表1 中，新增了第4、16 列，下面對重要列進行詳細說明。

第2 列：填寫分析對象。

第3 列：填寫從功能樹中識別的功能。

第4 列：填寫從功能樹中識別的功能參數(shù)指標。

第5 列：功能參數(shù)指標的反面即為故障模式。

第6 列：給出產品的任務階段及具體的工作狀態(tài)。

第7 列：從其相關聯(lián)的系統(tǒng)/子系統(tǒng)/產品/零部件、生產制造、使用用戶等角度填寫影響，并可從故障現(xiàn)象及便于嚴酷度打分的角度進行描述。

第8 列：針對最終影響結果對照嚴酷度等級分類表進行填寫。

第9 列：增加發(fā)生可能性的層級，便于進行采取措施前后的對比，見表2（參考汽車行業(yè)FMEA手冊［3］）。

表2 故障發(fā)生頻度［6］Tab.2 Failure frequency［6］

第10 列：根據(jù)嚴酷度和新的發(fā)生可能性定義新的風險評價指數(shù)，見表3，風險指數(shù)對應的處理原則見表4。

表3 風險指數(shù)［4］Tab.3 Risk index［4］

表4 風險指數(shù)對應的處理原則［4］Tab.4 Principles of risk index［4］

第11 列：給出會引起系統(tǒng)故障，且沒有冗余或替代的操作程序作為補救的產品故障，若符合該定義，填寫“Y”，若不符合該定義，填寫“N”。

第12 列：故障原因可從功能樹中識別，為下一層產品的功能參數(shù)要求的反面及下一層產品接口的功能參數(shù)要求的反面，也可從故障現(xiàn)象進行定性描述。

第13 列：給出在任務執(zhí)行時能夠表征該故障的遙測參數(shù)（包括參數(shù)代號及參數(shù)名稱）。

第14 列：給出產品在地面測試階段能夠表征該故障的參數(shù)或其他手段。

第15 列：針對故障原因提出可以指導設計的措施和方法，例如失效安全設計、設計和材料標準、設計防錯、模擬研究（概念分析、建立設計要求等）。

第16 列：針對故障原因和故障模式提出可以檢查設計的措施和方法，例如設計評審、試驗驗證、模擬研究（設計驗證）、使用相似部件的原型、關強點設置等。

第17 列：從3 個維度考慮。1）通過更改設計降低嚴酷度等級；2）通過設計修改或控制手段，消除或減少失效原因出現(xiàn)的可能（例如實行設計防錯措施、優(yōu)化設計結構、冗余設計、裕度設計、修訂材料規(guī)格）；3）改進檢查設計的方法，將檢查設計的工作提前（例如試驗優(yōu)化、在產品設計前期進行檢查、采用更高級的檢查方法）。

第18 列：填寫產品在執(zhí)行任務期間，針對故障可采取的應對措施。

第19 列：其他需要說明的事項。

2 改進FMECA 方法在空間電源分系統(tǒng)的應用案例

2.1 空間電源分系統(tǒng)的特點

空間電源分系統(tǒng)的特點包括：

1）工作環(huán)境嚴酷。

空間電源分系統(tǒng)既有艙外設備也有艙內設備，艙內設備處于失重的環(huán)境，艙外設備處于高層大氣、地磁場、天體應力場、高能帶電粒子、空間等離子體、高低溫交變、原子氧、微流星和空間碎片等環(huán)境［2］，這些環(huán)境對電源分系統(tǒng)的主要影響為溫度、輻射損傷、機械損傷、化學損傷、表面充電放電等，這些影響都會加速電源分系統(tǒng)的機電設備和承載結構失效。

2）分系統(tǒng)設備類型多、小子樣問題突出。

空間電源分系統(tǒng)主要功能是給航天器提供電能，但其設備類型包含4 類：機電類、電子電器類、機構類和電化學類，需要采取不同的可靠性分析手段滿足總體的要求?？臻g電源分系統(tǒng)的設備基本上是單件或小批量生產，其可靠性數(shù)據(jù)不夠充分，可靠性特征不易掌握。

3）工作周期長、可靠性要求高。

為了配合航天器，空間電源分系統(tǒng)在軌工作周期長，對各設備的可靠性提出了較高的要求，給設計工作帶來了巨大的挑戰(zhàn)。

4）在軌可維修。

由于航天器在軌時間長，空間電源分系統(tǒng)在軌可維修是為了適應航天的發(fā)展最新提出的要求，其維修方案、維修時機、維修內容和維修手段等仍處于摸索階段，可借鑒的資料較少。另外，由于空間環(huán)境的影響，空間電源分系統(tǒng)維修時間較長、維修難度較大、維修風險較高，這些都給在軌可維修帶來很多不確定的因素。

5）儲能電池要求高。

未來的空間電源分系統(tǒng)將采用鋰離子蓄電池作為儲能電池，不再有應急電源作為在陰影區(qū)出現(xiàn)功率峰值時的電能補充，因此，需要避免出現(xiàn)此種情況，增加電池的功率。

6）安全性問題突出。

目前空間電源分系統(tǒng)采用高電壓母線控制，萬一發(fā)生漏電事故，將有可能導致設備和人員的損傷。在設備的維修過程中，也存在觸及高壓的危險。

2.2 確定分析范圍

以某航天飛行器電源分系統(tǒng)的分流調節(jié)器為例，它主要包括供電分流電路、二次電源電路、母線濾波電路、參數(shù)測量電路、底板和匯流銅條，分流調節(jié)器產品組成圖如圖5 所示。產品的組成關系主要包括：1）供電分流電路、母線濾波電路、二次電源電路及匯流銅條由于發(fā)熱量較大，通過螺接的方式安裝在底板上；2）供電分流電路、母線濾波電路、二次電源電路均需要進行參數(shù)測量，因此參數(shù)測量電路需要將產品的參數(shù)傳輸給電源分系統(tǒng)的電源管理器及整器的數(shù)管分系統(tǒng)；3）供電分流電路通過電纜接受太陽電池翼的100 V 發(fā)電功率，并通過匯流銅條將100 V 發(fā)電功率輸出給下游設備——母線濾波器；4）母線濾波器將MEA 信號通過電纜連接器傳輸給供電分流電路；5）匯流銅條通過機內電纜將100 V 發(fā)電功率傳輸給二次電源電路，二次電源電路為供電分流電路和參數(shù)測量電路提供±12 V。

圖5 分流調節(jié)器產品結構樹Fig.5 Structure tree diagram of shunt regulator product

產品具體的結構框圖如圖6 所示，內外接口交互關系表見表5。

圖6 分流調節(jié)器結構框圖Fig.6 Structural block diagram of shunt regulator product

2.3 功能及要求分析

分流調節(jié)器主要實現(xiàn)3 個功能：分流功能、供電功能和參數(shù)測量功能，具體見表6。3 個功能的交互關系如圖7 所示。

分流功能需要由供電分流電路、二次電源電路、底板這3 部分來完成，功能量化要求包括：1）分流MEA 控制電壓域為6.3～9.0 V；2）15 路分流供電電路，每路分流能力為7.2 A；3）母線電壓維持在105～107 V；4）產品的工作溫度維持在5～35 ℃。分流功能樹如圖8 所示。

2.4 FMECA 表格填寫

以分流調節(jié)器的分流功能為例，填寫FMECA表格。根據(jù)產品結構框圖及功能分析，分流調節(jié)器本級功能的反面即為故障模式，下級功能的反面即為故障原因，見表7 和表8。

表5 分流調節(jié)器接口交互關系表Tab.5 Interface interaction relationship table of shunt regulator product

表6 分流調節(jié)器功能分析表Tab.6 Function analysis table of shunt regulator

圖7 分流調節(jié)器功能框圖Fig.7 Functional block diagram of shunt regulator

圖8 分流功能樹Fig.8 Shunt function tree

根據(jù)表2 和表3 的定義，確定該故障模式的發(fā)生可能性為C3，風險評價指數(shù)為7。

表7 FMECA 分析1Tab.7 FMECA analysis 1

表8 FMECA 分析2Tab.8 FMECA analysis 2

從表8 中可以看出，故障原因中不僅分析了電路模塊引起的故障，并且分析了接口引起的故障，只要在功能和結構分析中對接口的分析是全面的，那么在FMECA 分析表中必會反映出接口。同時，根據(jù)不同的故障原因提出了不同的改進建議，目的是保證指標參數(shù)不發(fā)生錯誤，從而確保功能執(zhí)行的正確性，最終提高產品的可靠性。

2.5 FMECA 結果分析

分流調節(jié)器是航天器電源分系統(tǒng)中必不可少的產品，它的可靠與否可決定電源系統(tǒng)的工作壽命長短，通過FMECA 分析，得到以下結果：1）MEA控制電壓域和工作溫度是制約分流功能的關鍵參數(shù)；2）改進措施中不僅考慮了設計，通過接口識別還增加了工藝過程實施；3）按照新的發(fā)生可能性表，故障發(fā)生可能性從一律的“E”變?yōu)榱恕癈3”。

3 結束語

本文針對現(xiàn)有FMECA 方法存在的兩個缺陷——無法有效指導設計改進和接口分析不到位，從3 個方面提出了改進方法：改進產品功能和結構分析方法，完善FMECA 分析表格和增加發(fā)生可能性的級別，并以分流調節(jié)器為例進行了逐一分析。從分析結果可知，F(xiàn)MECA 分析層級更加清晰，表格填寫更加規(guī)范，故障模式和故障原因分析更加全面，指標量化更有利于發(fā)現(xiàn)設計薄弱環(huán)節(jié)，更有針對性地指導產品開展設計改進，彌補了現(xiàn)有FMECA 的缺陷，有利于產品提高可靠性。