评点因素和点数Ci见表4。
如何确定点数Ci呢?
可由3～5位有经验的专家座谈、讨论，提出Ci的数值，这种方法又称BS法（BrainStorming），意思是集中智慧。
另—个方法是德菲尔法（DelphiTechnique），即函询调查法，将提出的问题和必要的背景材料，用通信的方式向有经验的专家提出，然后把他们答复的意见进行综合，
再反馈给他们，如此反复多次，直到认为合适的意见为止。
另一种求点数的方法列于表5，可根据评点因素求出点数，然后相加，计算出总点数Cs。
由以上两种方法求出的总点数Cs，均可按表6选取故障等级。
2）风险矩阵法
故障发生的可能性和引起的后果，综合考虑后会得出比较准确的衡量标准，我们称这个标准为风险率（也称危险度），它代表故障概率和严重度的综合评价。
（1）严重度。
指故障类型对系统功能的影响程度，分为4个等级（见表7）。
（2）故障概率。
故障概率是指在一特定时间，故障类型所出现的次数。
时间可规定为一定的期限（如一年、一月等）；或根据大修间隔期、完成一项任务的周期或其他被认为适当的期间来决定。
可以使用定性和定量方法确定单个故障类型的概率。
兹分述如下：
用定性方法故障概率可分为4级。
①Ⅰ级：
故障概率很低，元件操作期间出现的机会可忽略；②Ⅱ级：
故障概率低，元件操作期间不易出现；③Ⅲ级：
故障概率中等，元件操作期间出现的机会为50％；④Ⅳ级：
故障概率高，元件操作期间易于出现故障。
用定量方法故障概率可分4级。
①Ⅰ级：
在元件操作期间，任何单个故障的概率少于全部故障概率的0．01；②Ⅱ级：
在元件操作期间，任何单个故障的概率，多于全部故障概率的0．01而少于0．10；③Ⅲ级：
在元件操作期间，任何单个故障的概率，多于全部故障概率的0．10而少于0．20；④Ⅳ级：
在元件操作期间，任何单个故障的概率，大于全部的故障概率的0．20。
有了严重度和故障概率的数据后，就可运用风险率矩阵的评价法；因为用这两个特性就可表示出故障类型的实际影响。
有的故障类型虽有较高的发生概率，但造成的危害严重度甚低，因而风险率也低。
另一种情况，即使造成的危害严重度很大，但发生概率很低，其风险率也不会高。
为了综合这两个特性，可将故障概率为纵坐标，严重度为横坐标，画出风险率矩阵（图1）。
沿矩阵原点到右上角画一对角线，并将所有故障类型按其严重度和发生概率填入矩阵图中，可以看出系统风险的密集情况。
处于右上角方块中的故障类型风险率最高，依次左移逐渐降低。
图1 风险率矩阵图
（3）可靠性框图。
对于复杂的系统，为了说明子系统间功能的传输情况，可用可靠性框图表示系统状况（图2）。
图2 可靠性方框图
注：
1．系统包括子系统10、20、30；
2．子系统10包括组件11、12、13；
3．组件11包括元件01A、01B、02、03、04、05和06；
4．元件01A和01B相同，是冗余设计；
5．元件02由a及b组成，只用一个编码；
6．从功能上看，元件03同时受到07和来自其他系统的影响；
7．元件05、06是备用品回路；05发生故障，06即投入运行；
8．正常运行时，元件07不工作
从图2中可以明确地看出系统、子系统和元件之间的层次关系，系统、子系统间的功能输入和输出以及串联和并联方式。
各层次要进行编码，和将来制表的项目编码相对应。
可靠性框图与流程图或设备布置图不同，它只是表示系统与子系统间功能流动情况，而且可以根据实际需要，对风险度大的子系统进行深入分析，问题不大的子系统则可放置一边。
6 制表
使用FMEA方法的特点之一就是制表。
由于表格便于编码、分类、查阅、保存，所以很多部门根据自己情况拟出不同表格（见表8、表9、表10），但基本内容相似。
表8 故障类型影响分析表格—1
表9 故障类型影响分析表格—2
表10 故障类型影响分析表格—3
6．1 分析步骤
按照下述步骤进行FMEA分析。
1）明确系统本身的情况
分析时首先要熟悉有关资料，从设计说明书等资料中了解系统的组成、任务等，查出系统含有多少子系统，各子系统含有多少单元或元件，了解它们之间如何接合，熟悉它们之间的相互关系、相互干扰以及输入、输出等情况。
2）确定分析程度和水平
根据所了解的系统情况，一开始要决定分析到什么水平，这是—个很重要的问题。
如果分析程度太浅，就会漏掉重要的故障类型，得不到有用的数据；如果分析的程度过深，一切都分析到元件甚至零部件，则会造成分析程序复杂，措施很难实施。
通常，经过对系统的初步，就会知道哪些子系统关键，哪些子系统次要。
对关键的子系统可以分析得深一些，不重要的分析得浅一些，甚至可以不进行分析。
对一些功能像继电器、开关、阀门、贮罐、泵等，都可当做元件对待，不必进一步分析。
3）绘制系统图和可靠性框图
一个系统可以由若干个功能不同的子系统组成，如动力、设备、结构、燃料供应、控制仪表、信息网络系统等，其中还有各种接合面。
为了便于分析，对复杂系统可以绘制各功能子系统相结合的系统图，以表示各子系统间的关系。
对简单系统可以用流程图代替系统图。
从系统图可以继续画出可靠性框图，它表示各元件是串联的或并联的以及输入和输出情况。
由几个元件共同完成一项功能时用串联连接，元件有备品时则用并联连接。
可靠性框图内容应和相应的系统图一致。
4）列出所有故障类型，并选出对系统有影响的故障类型
按照可靠性框图，根据过去的经验和有关的故障资料，列举出所有的故障类型，填入FMEA表中。
然后从其中选出对子系统以至系统有影响的故障类型，深入分析其影响后果、故障等级及应采取的措施。
如果经验不足，考虑得不周到，将会给分析带来影响。
因此，这是一件技术性较强的工作，最好由安全技术人员、生产人员和工人三者结合进行。
5）列出造成故障的原因
对危险性特别大的故障类型，如故障等级为Ⅰ级，则要进行致命度分析。
6．2 致命度分析
对于特殊危险的故障类型，例如故障等级为Ⅰ级的故障类型，有可能导致人员伤亡或系统损坏，因此对这类元件要特别注意，可采用致命度的分析方法（CA）进一步分析。
美国汽车工程师学会（SAE）把故障致命度分成表11中的4个等级。
表11 致命度等级与内容
致命度分析一般都和故障类型影响分析合用。
使用下式计算出致命度指数Cr，它表示元件运行106h（次）发生的故障次数。
式中 n——元件的致命故障类型号数，n=1，2，3……j；
j——致命故障类型的第j个序号；
——单位时间或周期的故障次数，一般指元件故障率；
t——完成一项任务，元件运行的小时数或周期（次）数；
——元件
的测定值与实际运行时的强度修正系数；
——元件
的测定值与实际运行时的环境条件修正系数；
α——
中该故障类型所占比例；
β——造成致命影响的故障发生概率，其值见表12。
表12 造成致命影响的故障发生概率
致命度分析所用表格见表13。
表13 致 命 度 分 析 表
7 事 例
7．1 柴油机燃料供应系统的FDEA分析
图3为一柴油机燃料供应示意图。
柴油经膜式泵送往壁上的中间贮罐，再经过滤器流入曲轴带动的柱塞泵，将燃料向柴油机气缸喷射。
图3 柴油机燃料供应示意图
1—调速器；2—齿条；3—气缸；4—喷嘴；5—逆止阀；6—柱塞；7—燃料贮槽；
8—过滤器；9—小齿轮；10—弹簧；11—凸轮；11—曲轴；13—齿轮
此处共有5个子系统，即燃料供应子系统、燃料压送子系统、燃料喷射子系统、驱动装置、调速装置，其系统图如图4所示。
图4 柴油机燃料系统可靠性框图
这里仅就燃料供应子系统做出故障类型影响分析，并填入FMEA分析表中，摘出对系统有严重危险的故障类型，汇总见表14、表15，从中可以看出采取措施的重点。
从分析结果可以看出，燃料供应子系统的单向阀、燃料输送装置的柱塞和单向阀、燃料喷射装置的针形阀都容易被污垢堵住；因此要变更原来设计，即在燃料泵（柱塞泵）前面加一个过滤器。
表14 柴油机燃料供应子系统故障类型影响分析表
表15 柴油机燃料系统故障类型及等级表
7．2 暖风系统FMEA及CA分析
1）暖风系统概述
家用暖风系统的任务是完成采暖的需要，每年冬季要工作6个月，使室温保持22℃。
系统的使用周期为10年。
在室外温度降低到－23℃时，室内温度不变。
暖气系统设置在地下室内，环境温度也是－23℃，同时还有相当的粉尘。
因此，环境条件修正系数κE定为0．94，而强度修正系数κA为1．0。
室内温度达不到22℃，就被认为是系统出了故障，而造成这种故障的元件故障类型就被认为是致命故障类型。
本系统所使用的公用工程部分（即外电和煤气）都不在分析范围之内。
系统由3个子系统构成，即加热子系统、控制子系统、空气分配子系统。
现分述如下：
（1）加热子系统：
①煤气管；②切断气源用的手动阀；③控制煤气流量的控制阀；④火嘴；⑤由点火器传感器控制的点火器控制阀；⑥点火器（由点火器控制阀控制）。
（2）控制子系统。
100V交流电源经整流后变为24V直流电源，分别供给点火器温度传感器、火嘴温度传感器、室内温度传感器，再由各传感器控制相应装置。
（3）空气分配子系统。
室内温度下降时，由传感器控制开动送风机，从风道吸入空气进入热交换器，加热后再回到室内。
室温升高后由传感器将风机停止。
送风机转速共有3挡，以适应不同风量的需要。
2）确定分析程度和水平
只分析加热子系统，直至分析到功能元件。
3）绘制系统图和可靠性框图
系统图如图5所示，可靠性框图如图6所示。
图5 采暖系统图
图6 采暖系统可靠性框图
4）列出加热子系统FMEA表（见表16）
表16 加热子系统致命度分析表
对系统造成影响的故障类型进行致命度分析。
7．3 事故调查阶段—FMEA分析事例
1）背景
VCM装置已安全生产20年。
最近VCM装置发生了HCl精馏塔减压阀泄漏HCl的事故，结果造成精馏塔停车，而且尚未恢复生产（HCl是副产品，必须从VCM产品物流中除去）。
TMC公司向有关部门报告了此次事故，并承诺将采取措施避免类似事件再次发生；TMC公司的安全与卫生管理人员也要求尽快解决这个问题以维护公司的形象（事实上他已向有关部门表示在VCM装置重新开车之前，这个问题一定会得到纠正）。
VCM装置的管理者希望通过安全评价可以调查这次事故，找出事故中HCl泄漏原因及改正措施，同时希望能找出还可能导致泄漏的其他原因及改进措施。
2）已有资料
目前TMC公司有许多的HCl精馏塔的资料：
工艺流程图、PID图、操作程序、操作记录、维修记录、事故记录、以前进行的危险分析报告。
评价人员收集如下资料：
HCl精馏塔PID图、HCl塔的操作程序、事故发生当天的操作记录、事故发生当天的记录（塔的温度和再沸器流量）。
3）选择安全评价方法
选择适用于事故调查的安全评价方法，评价组选择使用故障假设、HAZOP分析或FMEA分析作为事故调查的评价方法，通过比较，评价人员使用FEMA分析方法进行事故调查。
4）分析准备
根据装置的情况，选择参加评价人员：
评价负责人A：
具有组织领导危险分析的经验。
记录员B：
能快速、准确地进行记录。
工艺工程师C：
要求精通HCl精馏塔的设计和操作的人员。
操作工D（李操作）：
HCl释放时在控制室内的值班操作工。
操作工正（王操作）：
HCl释放时在控制室外的操作工。
M：
熟悉VCM装置的应急预案。
VCM装置的安全管理员M参与本次安全评价。
安全与卫生管理W：
熟知与VCM装置HCl精馏过程有关的危险。
W是TMC公司卫生安全环境科工程师，参与本次评价。
5）分析说明
讨论本次FEMA分析计划。
FEMA只对HCl精馏塔进行分析，而且只是导致HCl泄漏的故障。
为了完成FEMA分析，将该系统的每一个部件假定失效模式，对每一个失效模式，分析组将分析它的效应（即后果）；如果后果对安全带来危害，分析组将分级已有的安全保护装置并提出相应的改进措施，否则分析下一个失效模式。
也可能要求分析组提出另外的失效模式。
以下是评价过程中的问题讨论：
D：
事故发生前—周，该系统的运行一直都很正常。
但是在下午约3时45分，我发现塔底温度（TI—205）略有上升，因为塔的其他点的温度都正常，我想再对它检查几次；几分钟后，焚烧炉报警——急冷塔低pH值报警；因为该传感器发生过误报警，我就关闭了该报警器并且请E操作去检查pH值；当我再次检查精馏塔的温度时，塔底温度已上升了好几度，而且塔的其他点的温度也上升，但TIC-201的读数降低。
此时，关闭了TCV—201停止蒸汽加热，而且关闭了LCV—101停止向塔进料；我通知E操作启动另一台HCl浮头式冷凝器，但是塔内压力已超过145psig[1psig=6．89476kPa（表压）]，减压阀打开，15s后减压阀复位。
（C带来了事故发生前后精馏塔操作的记录图以及工程部对记录图的分析结果）
A：
我想我们首先分析最近这一次释放事故的原因，然后再分析其他可能发生释放的原因。
根据D所说的情况，似乎是输入塔的热量过大。
我们首先分析再沸器蒸汽控制阀，该阀门的失效模式是什么?
C：
控制阀（TCV—201）的位置可能发生故障，故障打开、故障关闭或者向外泄漏。
D：
控制阀（TCV—201）也可能内部泄漏，即不需要时，蒸汽也可能进入再沸器。
A：
我们来分析这些故障。
那么TCV—201因故障打开的后果是什么?
C：
增加了再沸器的加热能力，使塔的温度和压力升高，如果停车系统和操作工不干预的话最终将冲开减压阀（PSV—252或PSV—253）。
A：
结果就是HCl泄漏。
有安全保护措施吗?
D：
从PID图上可以看出，在塔上有多个温度指示器，而且我们连续进行监视；有高温报警器（TAH—201），它能使塔停车；低回流报警器（FAL—202）；塔低液位报警器（LAL—209）；而且如果制冷压缩机出现故障，塔将停车；当然在塔上还有爆破片和减压阀；还有备用的HCl浮头式冷凝器和换热器。
A：
听起来好像有不少的安全保护装置嘛!
当TCV—201因故障打开后，到底是哪一个安全保护装置能避免HCl泄漏?
D：
温度指示和TAH—201确能帮助我们发现问题，打开备用冷凝器能提供额外的冷凝面积避免HCl从减压阀逸出；如果塔的流量是正常的，其他报警并没什么作用。
A：
大家认为TCV—201因故障打开是导致这个事故的原因吗?
D：
不是，因为当我发现温度太高时，我关闭了这个阀门，而且这个阀门处于正常工作状态。
A：
你如何知道阀门处于正常工作状态?
D：
在阀门上有限制开关指示，表明阀门完全关闭，而且塔的温度很快开始下降。
A：
好，有什么建议?
C：
我认为应该在塔上安装压力报警器。
而且前操作工只能凭借温度报警器来发现这个问题；当塔的温度较高时，我们应有应急方案指导操作工启动备用冷凝器。
M：
还应加上打开LCV—101的装置，因为它是塔的冷却剂。
A：
另外一个故障就是TCV—201关闭，这个故障有什么后果?
D：
关闭TCV—201将停止向再沸器输入蒸汽，塔将冷却下来，结果是HCl随VCM一起进入冷凝器，但不会泄漏HCl。
A：
阀门向外泄漏有何后果?
E：
泄漏量不大时，塔的操作正常，只是损失了蒸汽；如果泄漏量大，塔的温度将降低，与关闭阀门的结果一样；但不至于泄漏HCl。
A：
如果阀门是内部泄漏呢?
C：
内部泄漏的情况，只在塔停车时才有影响，如果是加热，该泄漏将使塔的温度慢慢升高并最终引起HCl的泄漏。
A：
安全保护?
C：
与TCV—201故障打开一样。
但是加上操作工有足够的时间诊断这个问题并采取纠正措施。
A：
有何建议?
（无回答。
）我们来分析控制TCV—201、温度变送器（TT—201）、控制器（TIC—201）的仪表。
该设备的失效模式是：
①输出假的温度高信号；②输出假的温度低信号；③即使塔的温度发生变化输出信号不变化。
还有其他失效模式吗?
（无回答。
）那么，如果TT—201或TIC—201输出假的温度高信号有何后果?
D：
因为切断了输入再沸器的蒸汽，HCl塔将被冷下来，将使HCl与VCM一起从塔底排出，从而降低产品的质量。
A：
会引起HCl泄漏吗?
E：
不会。
A：
输出假的温底低信号有何后果?
E：
我认为那正是导致事故的原因。
假的温度低信号将使TCV—201打开，从而使塔的温度升高而且没有报警声；如果我们不能及时发现它，减压阀就将打开；而且一旦变送器或TIC发生故障，塔的温度连锁将失效。
A：
那肯定就是设计的缺陷，即用同一个变送器实现塔的控制、报警和连锁，应该把报警和连锁放在另一个变送器上。
你们对TT—201和TIC—201进行过测试吗?
C：
我们进行过测试。
A：
那么，温度变送器和控制器故障应该是HCl放出的原因。
有何安全保护?
它们出现故障了吗?
C：
安全保护与D所讲的相同——塔的温度指示和TAH—201，但我认为温度报警不能算是安全保护。
A：
还有其他安全保护吗?
M：
备用冷凝器和换热器可以当做安全保护，因为它们能避免超压；我前面已讲过，停止HCl和VCM经过换热器进料将降低冷凝器的能力，可能导致HCl泄漏。
A：
大家同意这个意见吗?
（点头表示同意。
）那么，假设这也是导致HCl泄漏的一个原因，有什么建议?
C：
我再次提出我前面的建议。
我们应该在塔上安装高压报警器，为操作工建立紧急情况应对方案，当塔的温度升高时，操作工能按照这个方案采取相应的措施；我也同意大家关于对塔的温度报警和连锁采用不同的变送器的意见。
E：
在方案中加上“增加回流量”，它可以为我们启动备用冷凝器赢得时间。
A：
这些建议都很好，但是不要去设计详细的解决方案，那不是分析组的事。
还有其他建议吗?
（无反应。
）该仪表的最后一个失效模式是输出信号不变化，有什么后果?
D：
如果各点流量稳定，不会发生什么事。
如果流量有变化，塔的温度可能升高或降低一点，取决于流量变化的大小；我认为塔的压力有可能升得比较高，但速度比较缓慢。
A：
安全保护?
M：
与输出假的温度低信号的安全保护一样。
但是，我们可以告诉操作工有足够的时间发现问题并采取措施；而且操作工可手动控制蒸汽流量。
A：
有什么建议?
D：
与我们前面提出的一样。
在塔上增加高压报警、紧急情况应对方案、报警和连锁采用不同的温度变送器。
A：
下一个分析项目是浮头式冷凝器。
我想到的失效模式是壳体泄漏、管束泄漏、失去冷却能力，还有其他的吗?
（无回答。
）壳体泄漏有什么后果?
E：
被冷凝物料是在壳程中，壳体泄漏将有HCl逸出。
A：
安全保护?
E：
壳体的设地压力是250psig[1psig=6．89476kPa（表压），下同]高于塔的减压阀额定值；该换热器的密封压力是600psig，而且每年都要进行测试；我们还从未发现壳体泄漏的情况。
A：
有何建议?
（无回答。
）管束泄漏会有什么后果?
C：
制冷剂将进入过程中。
因为它的沸点低，它在塔中将成为不凝物质，使塔的压力升高。
如果泄漏量很大，将打开塔的减压阀。
曾经发生过因为管束泄漏使塔的压力升高这样的事故，我们就使用备用冷凝器，修复发生泄漏的管束，从减压阀将不凝气体排出。
A：
安全保护?
E：
管束采用蒙乃合金钢，其设计温度和压力能承受最坏的操作情况，设计压力是200psig，每年进行检查；除了有少量泄漏外还没有出现过大的问题，因为我们通过分析产品中制冷剂的含量，或者是观察浮头处的压力指示PI（稍微升高）可以较早发现泄漏问题。
A：
有什么建议吗?
（无回答。
）如果制冷剂系统停车会产生什么后果?
D：
塔很快就超压，减压阀打开。
但是，制冷剂停车与精馏塔停车连锁。
A：
还有其他的安全保护吗?
M：
还有另—个安全保护装置——高温连锁、压力报警以及紧急情况应对方案。
A：
请等一下。
压力报警和紧急情况应对方案还只是建议措施，现在还不能算作是安全保护装置；但高温连锁可以算。
还有其他安全保护吗?
（无回答。
）有何建议?
（无回答。
）好像HCl塔的压力对冷凝器的操作很敏感，除压缩机停车外，还有其他可能造成无制冷剂的情况发生吗?
E：
当然有，比如贮槽中制冷剂用完了，但是这样压缩机的打气量不足，会自动将精馏塔连锁，制冷剂槽上装有液位报警；另一种可能是制冷剂的输送管道破裂，但是这种机会很小，因为这些管道都在地面上，并贴上了标签，每年都要进行检查。
A：
冷凝器中可能发生堵塞吗?
D：
不太可能。
我们完全按操作程序进行操作。
A：
就安全保护装置而言，除已有的操作程序外，还有其他报警告诉你冷凝器工作不正常吗?
E：
当然有，减压阀
升级会员 