FMEA 失效模式与后果分析Failure Mode and Effects Analysis
FMEA 是以团队为单位的、在故障发生之前识别系统/设计/过程中潜在失效模式、评估其风险并推动预防措施的分析方法。AIAG 与 VDA 于 2019 年联合发布《FMEA 手册》，将过去各自为政的 FMEA 方法统一为七步法，并用行动优先级 AP（Action Priority）取代了沿用三十多年的 RPN 阈值法。IATF 16949:2016 条款 8.3.5.1 / 8.5.1.1 将 FMEA 与控制计划的联动列为强制要求。
为什么 FMEA 值得认真做
- 设计成本曲线：问题在设计阶段发现的修改成本是量产阶段的 1/10～1/100，FMEA 就是把发现时点尽量左移。
- 知识沉淀：FMEA 是企业失效知识的载体——新人接手项目时，历史 FMEA 是最贵重的交接物。
- 体系联动：FMEA 的措施落地为控制计划的控制方法，控制计划再联动作业指导书与控制图，一脉相承。
从 RPN 到 APFrom RPN to Action Priority
RPN = S × O × D（10×10×10，最高 1000），按分值划阈值决定是否措施。致命缺陷：S=9、O=2、D=2（RPN=36）与 S=4、O=9、D=1（RPN=36）两项风险天差地别——前者是「致命但罕见」，后者是「轻但频繁」，两者风险性质完全不同，RPN 却相同。阈值法还会诱发「为降分而打分」的博弈。
RPN 的三个老问题
- 等权相乘：S=10（安全法规）与 S=5（外观瑕疵）权重被乘法抹平。
- 阈值任意：RPN≥100 措施？≥125？各厂自定，无逻辑依据。
- 忽视高 S：S=10、O=1、D=1 → RPN=10，可能被忽略——但这是致命失效！
AP 如何解决
- 查表而非计算：S≥9–10 的格子绝大多数直接落 H——高严重度不会被低 O/D 稀释。
- 三维独立评估：每维先按准则定档，再组合查表，逻辑可追溯。
- H/M/L 是行动指令：不是分数，是「必须做 / 可选择 / 记录即可」。
注意
AP 表以 AIAG & VDA FMEA 手册原表为唯一权威。本站工作台使用的 AP 引擎由 Relyence 用户指南与 IITM CoEZET 出版物交叉核对得出（820 个重叠格零冲突），拿到原表后应逐格复核——AP 值有争议时以手册为准，不宜以「工具算出来的」抗辩。
七步法总览The Seven-Step Approach
七步法把 FMEA 从「一次会议填表」改造成项目制的结构化分析流程：步骤 1 是项目契约，步骤 2–4 是「打地基」（结构 → 功能 → 失效），步骤 5 是风险评估，步骤 6–7 是改进与文件化。前四步的质量决定了风险分析的含金量。
| 步骤 | 名称 | 核心问题 | 关键输出 |
|---|---|---|---|
| 1 | 规划与准备（5T） | InTent（意图）/ Timing / Team / Tasks / Tools 是什么？ | 范围界定、分析契约 |
| 2 | 结构分析 | 系统由什么组成？接口在哪？ | 结构树、边界图、接口矩阵 |
| 3 | 功能分析 | 每个要素要实现什么功能、满足什么要求？ | 功能网、参数图（P 图） |
| 4 | 失效分析 | 会怎么失效？起因是什么？影响波及哪些层级？ | 失效链（起因→模式→影响） |
| 5 | 风险分析 | 风险有多大？现行控制够不够？ | S/O/D 评级、AP 结论、措施需求 |
| 6 | 优化 | 采取什么措施降低风险？ | 措施表、责任人、重评级 |
| 7 | 结果文件化 | 分析结果如何归档与沟通？ | FMEA 报告、管理层评审记录 |
环环相扣
步骤 2 的结构要素 → 步骤 3 的功能载体 → 步骤 4 的失效归属 → 步骤 5 的分析行。跳过 2–4 直接填第 5 步大表是最常见的偷工减料，结果是失效模式凭记忆罗列、缺乏系统覆盖性——这正是本站工作台把步骤 2/3/4 做成独立可编辑工作台、并可一键导入第 5 步的原因。
步骤 1–3：准备 · 结构 · 功能Foundations: Structure & Function
步骤 1 · 规划与准备（5T）
- InTent（目的）：为什么做这次 FMEA？新设计 / 更改 / 问题驱动？
- Timing（时间）：在设计冻结/工艺定型之前完成初稿，随设计迭代滚动更新。
- Team（团队）：跨职能 5–7 人，设计/工艺/质量/制造/供应商，忌一人闭门造车。
- Task（任务）：统一 S/O/D 准则（含客户特殊要求）、识别特殊特性、确定分析粒度。
- Tool（工具）：边界图、参数图、接口矩阵、过往经验教训库。
步骤 2 · 结构分析
DFMEA 按系统 → 子系统 → 组件 → 零件分解；PFMEA 按过程 → 工位 → 工步分解。逐层登记每个要素的上级归属、接口与边界。接口四类：物理接触、能量传递、信息交换、物料交换。
PFMEA 不要停在「工序 → 工步」：手册要求进一步分解到过程工作要素（Process Work Element），并按 4M 类型识别失效变异源——人（Man：操作员技能/培训）、机（Machine：设备/工装/参数漂移）、料（Material：来料批次波动）、法（Method：作业方法/程序）。在评审该过程活动时主动纳入 4M，才能导出更完整的失效起因清单。例如「压装轴承工序」下应展开：压机（机）/ 操作人员（人）/ 压装工装（机）/ 压装作业指导书（法）。
交付物：结构树 + 边界图（Block Diagram）+ 接口矩阵。第 5 步工作表的「结构要素/接口」列必须能追溯到这一步。
步骤 3 · 功能分析
为每个结构要素分配功能 + 参数 + 要求，建立功能网。用参数图（P 图）区分「可控输入（控制因素）」「噪音因素」「理想输出」「错误状态」。功能要写成「动词 + 名词 + 可测量要求」，例如「密封组件阻隔冷却液外泄（泄漏量 ≤ 0.1 mL/h）」——不可测量的功能无法推导出可测量的失效。
质量自检
结构树覆盖了所有接口吗？每个要素都有功能吗？每个功能都可测量吗？三问任一为否，第 5 步的分析就会建立在沙子上。
步骤 4：失效分析三层次Failure Analysis: Local / Next / End Effect
失效起因 → 失效模式 → 失效影响。失效模式是「功能没做到」的直接表述（对应功能反写）；失效起因是「为什么没做到」（设计缺陷/工艺波动）；失效影响是「没做到会造成什么」——而影响必须按三个层级完整评估。
| 层级 | 含义 | 示例（电子水泵·密封失效） | S 评级对象 |
|---|---|---|---|
| 局部影响 Local Effect | 本要素功能丧失的直接后果 | 密封失效、冷却液外泄 | 通常最低——只反映本要素 |
| 上一层级影响 Next-Higher-Level Effect | 上一级系统/工序感受到的后果 | 电机腔进水、绕组烧毁 | 中间层级 |
| 最终影响 End Effect | 顾客/整车可感知的最终后果 | 水泵停转、整车冷却失效、抛锚 | 严重度 S 按此评级——以最终影响最严重情形为准 |
常见错误
- 只写局部影响 → S 被低估（「就是漏点液嘛」）。
- 影响与模式混写（「轴承磨损」是模式不是影响）。
- 起因写成现象（「密封不良」是模式，「材料不耐温」才是起因）。
正确写法
- 影响写到顾客可感知的层级（整车抛锚 / 法规不符 / 客户投诉）。
- 一条起因对应一个模式、一组影响，保持失效链一一对应。
- 用「功能反写法」推模式：功能「阻隔外泄」→ 模式「意外泄漏」。
设计决策：失效后果（FE）排成单栏，还是拆成三栏？本工作台落地 AIAG-VDA 表单时的论证结论
填表时最容易被卡住的一个问题：「失效后果到底怎么排？」以下结论直接决定本工作台步骤 5 的表结构，也是你在实际填表时要遵循的纪律。
- 标准怎么说：AIAG & VDA 2019 手册的 FE 只有一栏——"Failure Effects to the Next Higher Level Element and/or Vehicle End User"（对上一层级要素和/或终端用户的影响）；VDA 传统做法才会把"局部 / 上一级 / 最终"分三栏并列。
- 商业软件怎么做：步骤 2/3/4 是数据源，步骤 5 的工作表是由它投影出来的渲染层（手册与主流软件一致的描述是"automatically transfer the Structure, Function and Failure analysis into the FMEA form"），而不是把步骤 4 的内容手工再录一遍。
- 本工作台怎么定：① 单栏（AIAG-VDA 原样）为默认形态；② 提供"VDA 三栏并列"的可切换形态（视图条一键切换）；③ 失效链单一源、持续投影——步骤 5 的"结构要素 / 功能 / 失效模式 / 失效后果 / 失效起因"五列派生只读，上游在步骤 2/3/4 改名或增删行，工作表自动增删改，不需要任何"导入"按钮。
两条铁律：① 单栏 ≠ 只写一级。FE 必须沿失效链写到终端用户，单栏内用"→"串起"局部 → 上一级 → 最终"三段；② 不存在"三栏取最高 S"——DFMEA 严重度表本就是单列，同一失效链在不同层级只是投影，S 值沿链取最严重情形一次评级即可。下方"实战案例"用一份真实 DFMEA 完整演示这一点。
步骤 5：风险分析与 APRisk Analysis & Action Priority
对每条失效链，先评估现行预防控制（降低 O）与现行探测控制（降低 D）是否足够，再分别给 S / O / D 定档，最后三维查表得 AP。评级对象是失效链，不是零件——同一零件的不同失效模式可以有完全不同的评级。
预防控制 vs 探测控制
- 预防控制（P）：让失效更少发生——防错设计、材料选型规范、过盈校核、DFM 审核。作用在起因上，降低 O。
- 探测控制（D）：让失效更早被发现——台架试验、气密检测、匝间测试、视觉检查。作用在模式或起因上，降低 D。
- 手册的导向：优先加强预防。预防把问题消灭在源头，探测只是拦截——同样是 D 从 8 降到 2，靠预防实现的可靠性远高于靠 100% 检验。
评级纪律
S/O/D 必须对照评分准则表定档，禁止「拍脑袋」；团队分歧时宁可保守取高档。D 的评级要考虑探测时机——量产后的出厂检测（探测度低档）与设计验证阶段（高档）不可混为一谈。
S / O / D 评分准则Rating Criteria
2019 手册给出 S/O/D 各 10 档的推荐准则，并在每档内区分 DFMEA（对整车/用户）与 PFMEA（对制造/装配）视角。准则必须在步骤 1 与客户/团队统一——客户有特殊要求（CSR）时以客户表为准。
| 维度 | 评的是什么 | 高档（9–10）意味着 | 降档途径 |
|---|---|---|---|
| S 严重度 | 最终影响的严重程度（安全/法规/功能丧失/外观/异响） | 安全相关或不符合法规 | 只能靠设计更改（冗余、降载）——措施与探测都降不了 S |
| O 发生度 | 失效起因在产品寿命内出现的概率（PFMEA 按每千件/批次） | 几乎不可避免 | 加强预防控制（防错、设计更改、工艺固化） |
| D 探测度 | 现行控制在交付顾客前发现失效的能力 | 无控制 / 无法探测 | 加强探测控制（试验、在线检测）——但优先做预防 |
本站工作台的支持
本站 FMEA 工作台的 S/O/D 准则表登录后可直接编辑——客户 CSR 与默认准则不一致时，把准则改成客户版本再评级，编辑结果保存在本机并随导出/打印输出；「重置」随时恢复默认。
DFMEA 与 PFMEADesign vs Process FMEA
DFMEA 回答「设计能否满足功能要求」，对象是产品；PFMEA 回答「制造过程能否稳定产出合格品」，对象是工序。两者不是同一张表抄两遍——DFMEA 的失效要靠 PFMEA 的控制方法拦截，PFMEA 拦不住的须反馈 DFMEA 改设计。
| 维度 | DFMEA | PFMEA |
|---|---|---|
| 结构分解 | 系统 → 子系统 → 组件 → 零件 | 过程 → 工位 → 工步 |
| 功能来源 | 整车/系统功能分配 | 工艺规范、DFMEA 的产品特性 |
| 典型失效 | 磨损、断裂、过温、虚接 | 压偏、断胶、漏拧、刮伤 |
| S 视角 | 对整车/最终用户 | 对后续工序 + 最终用户（双重） |
| O 视角 | 寿命期发生概率 | 每千件/每批次频次 |
| D 视角 | 设计验证（DV/PV 试验） | 防错 + 在线检测 + 出厂测试 |
| 时间点 | 设计冻结前完成初稿 | 工艺定型前完成初稿 |
扩展知识：FMEA-MSR 与 SFMEA / MFMEA
FMEA-MSR（Supplemental FMEA for Monitoring and System Response，监控及系统响应的补充 FMEA）是 2019 版手册正式纳入的第三类。它面向电子电气产品 / 安全相关产品在使用期间的失效，依靠传感器与软件的监控及系统响应来探测并及时反应，配合 ISO 26262（道路车辆功能安全）使用；其风险关注点是「未能探测 / 未能响应」而非制造变异。本站工作台的 FMEA 类型切换已为 FMEA-MSR 预留入口（规划中）。
此外业界还有SFMEA（System FMEA，系统级 FMEA）——在整机/系统层面分析接口与交互失效，以及MFMEA（Machine FMEA，设备/机台 FMEA）——针对设备本身的可靠性。二者是 DFMEA/PFMEA 的扩展应用，非手册正文规范；本站培训收录其概念，正本手册（AIAG & VDA 2019）正文只规范 DFMEA / PFMEA / FMEA-MSR 三类。
步骤 6–7：优化与文件化Optimization & Documentation
步骤 6 · 优化
- AP = H 的项必须确定措施；AP = M 由团队决策并记录理由；AP = L 记录风险即可。
- 措施两类：预防类（改设计/改工艺防错）与探测类（加试验/加检测）。
- 每项措施指定责任人、期限、验证方式；措施完成后重新评级 S/O/D 与 AP——闭环的证据就是重评级的结果。
- S 不因措施改变：除非设计更改，S 维持原档。
步骤 7 · 结果文件化
- 输出FMEA 报告（含范围、团队、准则版本、工作表、措施状态、遗留风险），作为 APQP 第 3/4 阶段输出物。
- 与控制计划、特殊特性清单保持一致：FMEA 说要控制的地方，CP 里必须有对应控制方法。
- 提交管理层评审——AP = H 项的措施资源由管理层确认，这是七步法明确要求的升级机制。
- FMEA 是活文档：设计更改、过程更改、质量问题、保修数据都要触发更新。
与 APQP / CP / MSA 的衔接Integration with APQP, CP & MSA
| 工具 | 衔接点 | 一致性问题 |
|---|---|---|
| APQP | FMEA 是 APQP 第 3 阶段（过程设计）的输出物，第 4 阶段更新 | 计划里没有 FMEA 完成节点 → 后补走过场 |
| 控制计划 CP | FMEA 的失效模式 → CP 的控制方法；特殊特性双向标记 | FMEA 说「100% 匝间测试」而 CP 没写 → 审核必开 |
| MSA | PFMEA 的探测控制涉及量具 → 量具须做 GR&R 合格 | 用不合格的量具做「探测控制」→ D 档虚高 |
| SPC | CP 中的特殊特性 → 控制图监控 → 反哺 FMEA 的 O 档修正 | 控制图显示 CPK 不足但 FMEA 的 O 仍打 2 → 自欺 |
| 8D / 问题解决 | 市场失效 → 8D 根因 → 回填 FMEA（漏分析项）并更新 O/D | 8D 结案不回填 FMEA → 同类问题重复发生 |
本站工具链
本站已提供 APQP 工作台、控制计划 CP 工作台与 MSA 分析工具；FMEA 工作台与它们共用同一账号体系与分析口径，输出物可按 APQP 阶段归档。
常见误区与术语表Pitfalls & Glossary
五个高频误区
- 跳过步骤 2–4直接填第 5 步大表 → 失效覆盖靠记忆，系统性遗漏。
- 一人闭门造车 → 缺工艺/制造视角，PFMEA 变成设计 FMEA 抄写。
- 用 RPN 思维用 AP → 试图给 H/M/L 加权求和，违背方法本意。
- S 随措施下降 → S 只反映影响严重度，措施降的是 O 和 D。
- 量产前突击补做 → FMEA 沦为签字文件，预防价值归零。
三条实操建议
- 失效模式库：按零件族沉淀历史失效链，新项目先套库再头脑风暴。
- 接口专项：失效高发区在要素之间——接口矩阵逐格过一遍。
- 滚动更新：设计冻结、试产、量产、市场反馈四个节点强制回顾。
术语表
| 缩写 | 英文 | 含义 |
|---|---|---|
| AP | Action Priority | 行动优先级，H/M/L 三档，取代 RPN 阈值法 |
| FM | Failure Mode | 失效模式——功能没有实现（或出现非预期）的方式 |
| FC | Failure Chain | 失效链：起因 → 模式 → 影响的因果组合 |
| P/D 控制 | Prevention / Detection Control | 预防控制降低 O，探测控制降低 D |
| P 图 | Parameter Diagram | 参数图：输入、噪音、控制因素与理想输出的关系 |
| FMEA-MSR | Monitoring & System Response | 面向监控与系统响应的 FMEA，运行期间靠传感器/软件探测 |
| SFMEA | System FMEA | 系统级 FMEA，聚焦接口与交互失效（扩展应用） |
| MFMEA | Machine FMEA | 设备/机台 FMEA，面向设备可靠性（扩展应用） |
| CSR | Customer-Specific Requirements | 顾客特殊要求，评分准则与 AP 取舍的上位依据 |
动手练习
打开本站的 FMEA 工作台，用「汽车电子水泵」示例数据走一遍七步法：在步骤 2/3/4 逐层登记结构·功能·失效（注意局部/上一层级/最终三层影响），导入第 5 步后改一个 S 值观察 AP 重算，最后导出 CSV。
常见陷阱与 Lesson LearnedCommon Pitfalls
以下 12 条来自审核发现与行业实践中反复出现的 FMEA 问题（可作项目评审 checklist 使用）。每条按「错误做法 → 为什么错 → 正确做法」组织。
① 把 FMEA 当"交件"，事后补文档
❌ 设计冻结或 PPAP 提交前一周，由质量工程师一个人补写 FMEA。
⚠ 失去 FMEA 预防风险的本意，评审时一眼被识破（与图纸/工艺的实际内容对不上）。
✅ FMEA 与设计/工艺开发同步迭代，概念阶段建框架、详细设计填风险、验证阶段更新闭环。
② 失效模式写得笼统："损坏 / 不工作 / 不合格"
❌ 失效模式一栏只写「泵不工作」。
⚠ 笼统的失效模式无法对应到具体起因和控制措施，S/O/D 也无从评起。
✅ 按「技术名词 + 失效形式」描述：密封唇口磨损导致泄漏、MOSFET 过温击穿、端子振动退针。
③ 后果定性不定量、不落到终端顾客
❌ 后果写「性能下降」「顾客不满意」。
⚠ 无法支撑 S 评分的一致性，不同评审人给出的分值差异可达 4 分以上。
✅ 量化后果：泄漏量 >0.1 mL/h 致绕组 500 h 内烧毁；流量下降 >10% 触发水温报警——写出参数、阈值与终端表现。
④ 失效链方向搞反：沿结构树"向下"推后果
❌ 从总成往零件方向写影响。
⚠ 违背 AIAG & VDA 失效链逻辑，与顾客接口脱节。
✅ 失效影响沿结构树向上评估：局部影响（本要素）→ 上一层级影响（系统/工序）→ 最终影响（整车/顾客）。
⑤ O 的评分口径混用
❌ DFMEA 用「每千件缺陷率」、PFMEA 用「设计寿命发生概率」打分。
⚠ 评分准则错位导致 O 值系统性偏差，风险排序失真。
✅ DFMEA 按寿命期发生概率、PFMEA 按每千件 / 每批次频次（参考 Cpk / 过程能力）选取对应准则表。
⑥ 用 RPN 阈值（如 RPN>100 须措施）驱动决策
❌ 沿用 RPN>100 才行动的旧规则。
⚠ 相同 RPN 的两项风险可能天差地别（S=9,O=2,D=6 与 S=3,O=7,D=5 同为 108），RPN 已被 AIAG & VDA 废弃。
✅ 用 AP 行动优先级查表（S×O×D 三维）：H 必须措施并升级管理层，M 团队决策并记录理由，L 记录风险。
⑦ 措施只写"加强检验"
❌ 所有 H 项的措施都是「加严出货检验」。
⚠ 检验只能降 D，不能降低发生度 O，更不可能降低严重度 S；且把质量成本压在探测端最贵。
✅ 优先预防：改设计（降 S）、防错/参数稳健化（降 O），探测控制作为最后防线；措施后必须重新评级并回写。
⑧ 现行控制与失效起因/模式错位
❌ 预防控制栏填的是检测手段，探测控制栏填的是防错设计。
⚠ 控制对象错位使 O 与 D 的评分失去依据，审核典型不符合项。
✅ 预防控制针对「失效起因」（如选型规范、防错设计），探测控制针对「失效模式或起因」（如试验、在线检测）。
⑨ 一次性文件，量产后再也不更新
❌ PPAP 通过后 FMEA 锁进档案柜。
⚠ 设计变更、客诉、过程调整带来的新风险无人评估，FMEA 失去"动态文件"属性（审核重点）。
✅ 定义变更触发机制（设计变更/工艺调整/物料替换/客诉/定期回顾/审核发现）+ 修订记录（版本-日期-原因），责任到人。
⑩ 特殊特性不传递、标识不一致
❌ DFMEA 标了 CC/SC，PFMEA 和控制计划里却找不到对应行。
⚠ 特殊特性链条断裂是 IATF 16949 审核高发不合格，顾客特殊要求（CSR）违约风险大。
✅ 特殊特性沿 DFMEA → PFMEA → 控制计划逐级传递并保持同一标识（CC=关键/安全法规、SC=重要），纳入反应计划与统计监控。
⑪ 单打独斗：没有跨职能团队
❌ 一名质量工程师闭门完成 FMEA 全表。
⚠ 缺少设计/工艺/制造/服务视角，起因找不全、措施不可行，也不满足手册对团队的要求。
✅ 组建跨职能团队（设计、工艺、质量、制造、服务），逐人登记姓名—职务—意见—日期，管理层最终确认。
⑫ 措施不闭环：只记录不验证
❌ 措施表填了责任人和期限，之后无人跟踪。
⚠ FMEA 停留在"计划态"，AP=H 的风险实际未消除。
✅ 每条措施定义验证方法与结果，完成后更新措施后 S/O/D 并重算 AP，由管理层评审关闭——形成 PDCA 闭环。
自测练习Self-Test Quiz
读完全篇再来测。提交后逐题标注对错并给解析；重置会重新抽题。
进入工作台实做
本页讲方法，FMEA 工作台把七步法做成可逐层登记、可一键导入、可导出 CSV 的实体：结构/功能/失效三表 + 核心工作表 + AP 实时计算 + 措施后重评级。
AP 附录：S × O × D 完整查表矩阵AP Appendix
本页 AP 网格来自公开来源的近似值，并非 AIAG & VDA 手册原表逐格转录。正式提交客户或接受审核前，请对照手册原表逐格复核；如有分歧，以手册原表为准。
1000 个格全部列出（S=1–10 行，O=1–10 列）。每格上方的色块为代表性 AP（D=5），下方小字为该格内 10 个 D 值对应的 AP 分段，例如「D1–4→L」表示 D=1 至 4 均为 L。与 FMEA 工作台实时使用的引擎 fmea-ap.js 同源。
怎么用这张表
在工作台给某条失效链评出 S / O / D 后，按 S 找行、O 找列，再在格内按 D 值读出 AP 分段。AP = H 的项必须确定措施并升级管理层评审；M 由团队决策并记录理由；L 记录风险即可。
实战案例：动力电池电流传感器 BCS-400AA Real DFMEA — Traction-Battery Current Sensor
对象：纯电动乘用车动力电池电流传感器 BCS-400A（焦点要素 = 部件要素，分析已下沉到 12 个下一级要素）。标准：AIAG & VDA FMEA Handbook 1st Ed. (2019) 七步法；架构：分流器（主测量）+ 霍尔（冗余/高带宽）混合架构；安全：ISO 26262 ASIL B（BMS 电流测量安全相关）。FE 单栏沿链书写，S 对应 DFMEA 严重度表，风险用 AP 查表法（禁用 RPN 阈值）。主表 48 行，覆盖电流采样链 / 数字处理与通信 / 高压隔离与绝缘 / 机械与环境 / 电源与基准 / 标定与配置六条主线。本案例同时是下方"全工作台贯穿"讨论的母本。
① 5T 策划（Step 1）
- InTent 目的：识别传感器设计失效，评估对 BMS 计量与输出策略的影响，沿失效链追溯至整车终端用户；为 DVP&R 与特殊特性传递提供依据。
- Timing 时机：方案评审前启动、设计冻结前完成首版；DV 前重评；任一设计变更/偏差后 2 周内更新。
- Team 团队：硬件·软件（诊断）·结构·热·工艺·试验·质量·系统工程·功能安全·OEM STA（跨职能，10 人）。
- Task 任务：焦点要素 = 电流传感器 BCS-400A；下一级要素 = 分流器及其焊接界面 / 霍尔与磁芯 / 调理 ASIC / ADC 与基准 / MCU 与诊断 / CAN 与隔离 DC-DC / 隔离屏障 / 连接器 / 壳体与灌封 / 安装接口 / 标定存储（12 项）。
- Tool 工具：本工作簿；磁路 / 热 / 结构 / EMC 仿真；误差预算表；FMEDA 与故障注入；DVP&R；AP 查表法（禁用 RPN 阈值）。
② 边界与责任纪律（核心）
- 范围内：传感器本体及 12 个下一级要素。
- 范围外：BMS 软件逻辑、整车高压主回路、电芯模组——仅在 FE 中作为"受影响方"出现，不开行。
- FE 追溯终点：「BMS/电池系统」→「整车/终端用户」，同一格内沿链写完。
- 责任边界：本表只认领本层（要素）FC 的改进措施，不认领上一级 FM。
- 三层一致性：本表 FE = 电池系统级 DFMEA 对应 FM = 整车级对应 FE（逐字复用，唯一真源）。
- 分析粒度：结构已拆到下一级要素，故失效分析直接在要素层展开——这正是"深度"的来源：不是只说"传感器坏了"，而是说清分流器、磁芯、隔离屏障、灌封各自怎么坏。
| 层级 | 要素名称 | 类型 | 上接 | 在本分析中的角色 |
|---|---|---|---|---|
| L1 | 纯电动乘用车动力电池系统 | System | 整车 Vehicle | FE 追溯终点（不开行） |
| L2 | 动力电池管理系统 BMS | System element | 动力电池系统 | FE 第一落点（不开行） |
| L3 | 电流传感器 BCS-400A | Component | BMS | ★ 分析焦点（本表对象） |
| L4 | E-01 分流器（锰铜） | 下一级要素 | 电流传感器 BCS-400A | 主测量通道，误差主贡献项 |
| L4 | E-02 分流器焊接界面 | 下一级要素 | 电流传感器 BCS-400A | 热循环疲劳敏感点 |
| L4 | E-03 霍尔元件与聚磁磁芯 | 下一级要素 | 电流传感器 BCS-400A | 冗余/高带宽通道 |
| L4 | E-04 信号调理 ASIC | 下一级要素 | 电流传感器 BCS-400A | 增益与温漂补偿 |
| L4 | E-05 ADC 与基准电压源 | 下一级要素 | 电流传感器 BCS-400A | 量化与基准误差 |
| L4 | E-06 MCU 与诊断逻辑 | 下一级要素 | 电流传感器 BCS-400A | ★ 安全机制载体（ASIL B） |
| L4 | E-07 CAN 收发器与隔离 DC-DC | 下一级要素 | 电流传感器 BCS-400A | 通信与隔离供电 |
| L4 | E-08 隔离屏障 | 下一级要素 | 电流传感器 BCS-400A | ★ 高压安全边界 |
| L4 | E-09 连接器与端子 | 下一级要素 | 电流传感器 BCS-400A | 互联与屏蔽 |
| L4 | E-10 壳体与灌封 | 下一级要素 | 电流传感器 BCS-400A | 环境密封与机械防护 |
| L4 | E-11 安装接口（铜排/螺栓） | 下一级要素 | 电流传感器 BCS-400A | 主回路连接与散热 |
| L4 | E-12 标定与配置存储 | 下一级要素 | 电流传感器 BCS-400A | 标定系数与配置保持 |
| 要素 | 功能（动宾） | 要求 / 特性（可量化） |
|---|---|---|
| E-01 分流器（锰铜） | 将主回路电流转换为可测电压信号 | R = 100 μΩ ±0.1%；TCR ≤50 ppm/K；400 A 连续自热温升 ≤60 K |
| E-02 分流器焊接界面 | 建立低阻且长期稳定的电气连接 | 界面电阻 ≤5 μΩ；1000 次 −40/+125 ℃ 热冲击后阻值漂移 ≤2% |
| E-03 霍尔元件与聚磁磁芯 | 非接触感测电流产生的磁场 | 线性度 ≤0.5% FS；磁滞 ≤0.2% FS；不饱和裕度 ≥1.5× 量程 |
| E-04 信号调理 ASIC | 放大、滤波并对测量链做温度补偿 | 增益误差 ≤0.1%；CMRR ≥80 dB；补偿后温漂 ≤0.3% FS |
| E-05 ADC 与基准电压源 | 完成模拟量到数字量的转换 | 16 bit；INL ≤2 LSB；基准温漂 ≤10 ppm/K；采样 ≥100 Hz |
| E-06 MCU 与诊断逻辑 | 计算电流值、执行诊断并组帧输出 | 诊断覆盖率 ≥90%；故障响应 ≤10 ms；看门狗窗口 ≤50 ms |
| E-07 CAN 收发器与隔离 DC-DC | 提供隔离通信与隔离供电 | CAN FD 2 Mbps；隔离耐压 ≥2.5 kV RMS；DC-DC 输出 5 V ±3% |
| E-08 隔离屏障 | 实现高压侧与低压侧的电气隔离 | 绝缘 ≥100 MΩ @500 V DC；爬电 ≥2.5 mm；CTI ≥600 V |
| E-09 连接器与端子 | 完成信号与电源的可插拔互联 | 接触电阻 ≤10 mΩ；插拔 ≥25 次；屏蔽衰减 ≥40 dB @100 MHz |
| E-10 壳体与灌封 | 提供环境密封与机械防护 | IP6K9K；灌封气泡 ≤0.5 mm；灌封与基材 CTE 失配 ≤10 ppm/K |
| E-11 安装接口（铜排/螺栓） | 实现机械固定与主回路低阻连接 | 平面度 ≤0.1 mm；拧紧力矩 9±1 N·m；接触电阻 ≤10 μΩ |
| E-12 标定与配置存储 | 保存标定系数与产品配置 | 数据保持 ≥15 年；ECC 校验；写入次数 ≥10⁵ |
失效分析与风险分析全表（48 行）Failure & Risk Analysis — Full 48-Row Worksheet
六组按信号链与物理域划分，而不是按零件清单随意罗列。每行 FC 列只写设计起因（公差/裕度/选型/拓扑/诊断策略/规范缺失），制造起因归 PFMEA。AP 由 S/O/D 三维查表得出（本工作表的 AP 引擎与 FMEA 工作台同源），禁用 RPN 阈值法。FE 单栏沿链：「BMS/电池系统」→「整车/终端用户」。
分流器 → 焊接界面 → 霍尔磁路 → 调理 ASIC → ADC/基准，误差预算的主战场
| # | 结构要素 | 失效模式 FM | 失效起因 FC（仅设计起因） | 现行预防控制 PC | O | 现行探测控制 DC | D | 失效后果 FE（单栏·沿链写到终端用户） | S | AP | 特性 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| A-01 | E-01 分流器（锰铜） | 分流器阻值随温度漂移导致测量值超出规定精度 | 锰铜 TCR 按 50 ppm/K 选型，未覆盖 400 A 满量程自热 60 K 与环温 125 ℃ 叠加后的实际结温 | 技术协议锁定 TCR ≤50 ppm/K；设计阶段做热-电联合仿真（自热 + 环温 + 电流剖面） | 3 | 全温区（−40~125 ℃）全量程多点精度台架；EOL 快速全量程精度校验 | 3 | 「BMS/电池系统」电流计量偏差超出 BMS 计量策略允许范围 → SOC 估算与充放电方向判定失准 →「整车/终端用户」电流测量值偏差超出规定精度；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
| A-02 | E-01 分流器（锰铜） | 分流器阻值长期漂移超出规定精度（时漂） | 已有锰铜材料选型规范；【缺】1000 h @125 ℃/400 A 老化后的阻值漂移限值与验证数据 | 已有锰铜材料选型规范 | 6 | 1000 h 高温满载老化试验 + 老化前后精度对比（漂移 ≤0.1%） | 5 | 「BMS/电池系统」电流计量出现不可补偿的单向漂移 → SOC 累积误差随时间增大 →「整车/终端用户」电流测量值缓慢漂移导致 SOC 累积误差；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | H | CC |
| A-03 | E-01 分流器（锰铜） | 异种金属结热电势引入测量偏置 | 未评估铜排-锰铜-焊料异种金属结热电势（约 2 μV/K，60 K 温差下相当于 ±12 mA 等效误差） | 对称布线 + 同材质过渡；热电势建模纳入误差预算表 | 4 | 正反向电流对称性试验（消除热 EMF 偏置验证） | 4 | 「BMS/电池系统」小电流段测量偏置导致库仑计量在低 SOC 区间累积偏差 →「整车/终端用户」低电流段测量偏置导致低 SOC 区库仑计量偏差；测量精度或功能性能下降、用户体验劣化，但车辆可正常行驶，不构成安全或法规风险。 | 6 | L | — |
| A-04 | E-01 分流器（锰铜） | 分流器在短路工况下熔断/开路 | 已按 400 A 连续工况设计截面；【缺】I²t 耐受曲线定义与 5 kA 短路能量的量化验证 | 已按 400 A 连续工况设计截面 | 5 | 短路耐受试验（SCT）+ I²t 曲线实测；熔断器协调性验证 | 3 | 「BMS/电池系统」电流采样通道开路 → BMS 判定采样通道故障并进入安全降级策略 →「整车/终端用户」电流采样通道失效；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| A-05 | E-02 分流器焊接界面 | 焊接界面电阻随热循环增大（微裂纹） | 已有回流焊工艺规范；【缺】焊盘热-机械仿真与 CTE 匹配选材的系统性要求 | 已有回流焊工艺规范 | 5 | 1000 次热冲击后界面电阻测试 + 显微切片检查 | 5 | 「BMS/电池系统」采样回路电阻变化导致计量偏差与局部发热 → SOC 与限值策略失准 →「整车/终端用户」采样回路电阻变化导致计量偏差；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | M | CC |
| A-06 | E-03 霍尔元件与聚磁磁芯 | 霍尔灵敏度随温度漂移超出规定线性度 | 已采用 ASIC 内置温补；【缺】85~125 ℃ 区间的温补系数标定与温度传感器布局约束 | 已采用 ASIC 内置温补 | 4 | 全温区线性度与灵敏度台架（含 125 ℃ 端点保持） | 4 | 「BMS/电池系统」冗余通道读数与主通道失配 → BMS 合理性校验触发误诊断 →「整车/终端用户」冗余通道与主通道失配触发误诊断；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | M | CC |
| A-07 | E-03 霍尔元件与聚磁磁芯 | 输出信号在量程上限饱和（磁芯饱和） | 磁芯截面积按 400 A 选定，未预留 1.5× 不饱和裕度，瞬态过冲即进入饱和 | 磁路仿真验证不饱和裕度 ≥1.5× 量程；按 Bs 选型并留温度降额 | 3 | 超量程（±600 A）台架试验验证无饱和 | 3 | 「BMS/电池系统」电流读数持续饱和于量程上限 → BMS 误判为持续大电流并按过流策略处置 →「整车/终端用户」电流读数饱和于量程上限；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | — |
| A-08 | E-03 霍尔元件与聚磁磁芯 | 磁芯剩磁导致卸载后回程误差 | 磁芯材料矫顽力 Hc 偏高，大电流卸载后残留磁通未消除 | 低 Hc 磁芯选材；设计去磁/自动校零时序 | 3 | 升-降电流回程误差试验（含卸载后零点复测） | 4 | 「BMS/电池系统」同一电流在升、降过程中读数不一致 → 功率积分与库仑计量出现路径依赖误差 →「整车/终端用户」升降电流读数不一致（回程误差）；测量精度或功能性能下降、用户体验劣化，但车辆可正常行驶，不构成安全或法规风险。 | 6 | L | — |
| A-09 | E-04 信号调理 ASIC | 增益误差/温漂超出误差预算分配值 | 增益电阻网络 TCR 未做批次匹配，温漂在满量程叠加 | 同批次同 TCR 电阻网络；误差预算表逐项分配（增益项 ≤0.1%） | 3 | 全温区增益误差台架；公差分析（最坏情况 + 蒙特卡洛） | 3 | 「BMS/电池系统」测量链增益偏差导致全量程比例误差 → SOC 与功率限值按比例失准 →「整车/终端用户」测量链增益偏差导致比例误差；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
| A-10 | E-04 信号调理 ASIC | 共模抑制不足引入与高压母线相关的测量误差 | 已采用差分输入；【缺】高压共模偏置下的 CMRR 实测要求与前端 RC 匹配公差 | 已采用差分输入 | 5 | 共模抑制比实测（叠加 ±500 V 共模偏置后精度复测） | 4 | 「BMS/电池系统」测量误差随高压母线电位波动 → 整车高压工况下精度劣化 →「整车/终端用户」测量误差随高压母线电位波动；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | M | — |
| A-11 | E-05 ADC 与基准电压源 | ADC 积分非线性（INL）超出规格 | ADC INL 2 LSB 未在误差预算中分配，小电流段误差占比放大 | 误差预算表逐项分配；ADC 有效位数（ENOB）选型余量 ≥1 bit | 3 | 台架多点（5%/25%/50%/75%/100% FS）线性度测试 | 4 | 「BMS/电池系统」转换非线性导致分段误差 → 中等电流段计量偏差 →「整车/终端用户」转换非线性导致分段计量偏差；测量精度或功能性能下降、用户体验劣化，但车辆可正常行驶，不构成安全或法规风险。 | 6 | L | — |
| A-12 | E-05 ADC 与基准电压源 | 基准电压源长期漂移/噪声超出预算 | 基准 2.5 V / 10 ppm/K 仅按温漂评估，未计入 15 年长期漂移（约 200 ppm） | 基准长期漂移数据纳入误差预算；预留整车端再校准策略 | 3 | 高温老化（1000 h @125 ℃）后基准电压复测与漂移外推 | 4 | 「BMS/电池系统」全量程读数随年限系统性偏移 → SOC 与续航估算逐年失准 →「整车/终端用户」测量读数随使用年限系统性偏移；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
MCU 诊断逻辑、CAN 通信、隔离供电与安全态时序
| # | 结构要素 | 失效模式 FM | 失效起因 FC（仅设计起因） | 现行预防控制 PC | O | 现行探测控制 DC | D | 失效后果 FE（单栏·沿链写到终端用户） | S | AP | 特性 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| B-01 | E-06 MCU 与诊断逻辑 | 输出信号冻结在历史有效值（stuck at last valid value） | ADC 数据寄存器不再刷新，且未设计变化率监控来识别卡死 | 双通道交替采样 + 寄存器读回校验；变化率监控（stuck 检测）设计入诊断集 | 3 | 变化率监控注入测试 + 长时程台架老化试验 | 4 | 「BMS/电池系统」电流读数冻结而实际电流已偏离 → BMS 基于失真读数进行 SOC 与限值策略运算 →「整车/终端用户」电流读数冻结导致保护判断滞后；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | — |
| B-02 | E-06 MCU 与诊断逻辑 | MCU 程序跑飞且看门狗未能复位（共因失效） | 已配置窗口看门狗；【缺】独立时钟源与时钟监控单元，共因失效未被识别 | 已配置窗口看门狗 | 5 | 故障注入试验（时钟失效注入）+ MC/DC 代码覆盖率分析 | 4 | 「BMS/电池系统」电流读数不可信且无诊断上报 → BMS 在不知情状态下按错误电流执行功率限值 →「整车/终端用户」电流读数不可信且无诊断上报；该失效无预警，车辆可能在行驶中突然失去动力或发生高压回路起火，导致碰撞、乘员电击或烧伤伤害。 | 10 | H | ★ |
| B-03 | E-06 MCU 与诊断逻辑 | 诊断覆盖率不足，安全相关失效潜伏未被检出 | 已有部分诊断（范围检查）；【缺】诊断覆盖率目标分解与 FMEDA 闭环 | 已有部分诊断（范围检查） | 5 | 故障注入试验覆盖验证 + FMEDA 复核（SPFM/LFM/PMHF 复核） | 5 | 「BMS/电池系统」潜伏失效与主失效叠加 → 安全机制在需要时不响应 →「整车/终端用户」潜伏失效叠加导致安全机制不响应；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| B-04 | E-07 CAN 收发器与隔离 DC-DC | CAN 报文丢失或周期抖动超出窗口 | CAN 总线负载率按 78% 设计、接近上限，峰值时段丢帧 | 总线负载率 ≤50% 设计余量 + 负载率仿真；报文周期与超时窗口联合定义 | 3 | 总线负载率实测 + 48 h 通信压力测试（含错误帧统计） | 4 | 「BMS/电池系统」电流报文超时 → BMS 判定采样通道失效并进入安全降级策略 →「整车/终端用户」电流报文超时触发安全降级；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | L | ★ |
| B-05 | E-07 CAN 收发器与隔离 DC-DC | CAN 报文内容错误未被检出（篡改/重放/卡帧） | 已有 CAN CRC 校验；【缺】端到端保护（E2E），无法检出篡改/重放/卡帧 | 已有 CAN CRC 校验 | 5 | E2E 故障注入测试（篡改/重放/延时/乱序） | 5 | 「BMS/电池系统」BMS 收到被篡改的电流值 → 依错误数据执行功率限值或过流保护 →「整车/终端用户」BMS 依据被篡改的电流值执行保护；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| B-06 | E-07 CAN 收发器与隔离 DC-DC | 隔离 DC-DC 输出欠压跌落导致 MCU 复位 | DC-DC 负载瞬变响应不足，输出电容配置偏小 | 输出电容与瞬态响应联合设计；欠压锁定（UVLO）阈值与复位时序规定 | 3 | 负载瞬变试验 + 输入电压跌落试验（ISO 16750-2） | 4 | 「BMS/电池系统」传感器反复复位 → 电流数据间歇性中断 →「整车/终端用户」电流数据间歇性中断；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | — |
| B-07 | E-06 MCU 与诊断逻辑 | EMC 抗扰不足导致闩锁（Latch-up）或寄存器翻转 | 未做闩锁防护设计，ISO 7637 电瞬态脉冲直接耦合至 IO 口 | IO 口串联电阻 + TVS 钳位；完整地平面与分区隔离；芯片闩锁等级选型 | 4 | EMC 抗扰度（ISO 11452-2/4）+ 电瞬态抗扰（ISO 7637-2/3） | 6 | 「BMS/电池系统」电流读数出现瞬时尖峰 → BMS 过流/过压保护误触发，误断开高压回路 →「整车/终端用户」电流读数瞬时尖峰触发保护误动作；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| B-08 | E-06 MCU 与诊断逻辑 | 掉电后进入安全态的时间超出 1 ms 要求 | 已设计掉电检测电路；【缺】检测阈值与储能电容的联合时序预算 | 已设计掉电检测电路 | 4 | 掉电时序实测（从检测点到安全态 ≤1 ms，含 −40 ℃ 冷启动） | 4 | 「BMS/电池系统」掉电瞬间输出未及时置为安全态 → BMS 可能读到残余错误电流值 →「整车/终端用户」掉电瞬间输出未及时置为安全态；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
爬电/电气间隙、绝缘材料、灌封气泡、瞬态过压 —— 高压安全边界
| # | 结构要素 | 失效模式 FM | 失效起因 FC（仅设计起因） | 现行预防控制 PC | O | 现行探测控制 DC | D | 失效后果 FE（单栏·沿链写到终端用户） | S | AP | 特性 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| C-01 | E-08 隔离屏障 | 爬电距离不足导致沿面闪络 | 已按 IEC 60664-1 污染度 2 设计 2.5 mm；【缺】污染度 3/凝露工况复核与开槽增爬电规定 | 已按 IEC 60664-1 污染度 2 设计 2.5 mm | 4 | 耐压试验 2.5 kV RMS/1 min + 局部放电测试（PD ≤5 pC） | 3 | 「BMS/电池系统」高压经采样回路窜入低压侧 → BMS 与整车低压网络带电 →「整车/终端用户」高压窜入低压侧；该失效无预警，车辆可能在行驶中突然失去动力或发生高压回路起火，导致碰撞、乘员电击或烧伤伤害。 | 10 | H | ★ |
| C-02 | E-08 隔离屏障 | 绝缘材料 CTI 不足或湿热老化后绝缘性能下降 | 已选用工程塑料壳体；【缺】CTI ≥600 V 要求与湿热老化后的绝缘性能验证 | 已选用工程塑料壳体 | 4 | 湿热老化 1000 h @85 ℃/85% RH 后耐压与绝缘复测 | 4 | 「BMS/电池系统」绝缘电阻下降到安全限值以下 → 高压泄漏电流超标 →「整车/终端用户」绝缘电阻下降导致高压泄漏超标；该失效无预警，车辆可能在行驶中突然失去动力或发生高压回路起火，导致碰撞、乘员电击或烧伤伤害。 | 10 | H | ★ |
| C-03 | E-10 壳体与灌封 | 灌封内部气泡导致局部放电并逐步击穿 | 已定义灌封材料；【缺】真空脱泡参数、气泡验收准则与局部放电判据 | 已定义灌封材料 | 5 | X 光检查（全检/加严抽检）+ 局部放电（PD）测试 | 5 | 「BMS/电池系统」隔离屏障内局部放电逐步碳化 → 最终高压击穿 →「整车/终端用户」隔离屏障局部放电演变为高压击穿；该失效无预警，车辆可能在行驶中突然失去动力或发生高压回路起火，导致碰撞、乘员电击或烧伤伤害。 | 10 | H | ★ |
| C-04 | E-10 壳体与灌封 | 湿气侵入导致绝缘下降与信号漂移 | 已有 IP67 密封设计；【缺】热循环后压缩永久变形数据与气密性复测要求 | 已有 IP67 密封设计 | 4 | IP 试验（IP6K9K）+ 热循环后气密性复测 | 4 | 「BMS/电池系统」传感器进水后绝缘下降与信号漂移 → 演变为高压对地泄漏或读数失真 →「整车/终端用户」进水后绝缘下降与读数失真；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| C-05 | E-10 壳体与灌封 | 灌封与壳体 CTE 失配产生裂纹 | 已选用常规灌封胶；【缺】CTE 失配约束（≤10 ppm/K）与结构应力仿真 | 已选用常规灌封胶 | 4 | 热冲击 500 次后耐压复测 + 显微/超声（SAT）检查 | 4 | 「BMS/电池系统」隔离屏障出现贯穿性裂纹 → 高压直接窜入低压侧 →「整车/终端用户」隔离屏障贯穿性裂纹导致高压窜入；该失效无预警，车辆可能在行驶中突然失去动力或发生高压回路起火，导致碰撞、乘员电击或烧伤伤害。 | 10 | H | ★ |
| C-06 | E-08 隔离屏障 | 系统瞬态过压导致隔离击穿 | 已按 2.5 kV RMS 工频耐压设计；【缺】系统浪涌（6 kV 组合波）防护等级定义 | 已按 2.5 kV RMS 工频耐压设计 | 4 | 浪涌试验（IEC 61000-4-5）+ 浪涌后耐压与绝缘复测 | 4 | 「BMS/电池系统」瞬态过压击穿隔离 → 高压窜入低压侧并可能引燃 →「整车/终端用户」瞬态过压击穿隔离；该失效无预警，车辆可能在行驶中突然失去动力或发生高压回路起火，导致碰撞、乘员电击或烧伤伤害。 | 10 | H | ★ |
| C-07 | E-09 连接器与端子 | 屏蔽层接地方案与整车不匹配导致屏蔽效能不足 | 已有屏蔽层设计；【缺】与整车接地策略的联合确认与屏蔽效能指标 | 已有屏蔽层设计 | 4 | 屏蔽效能实测（三同轴法）+ 整车 EMC 摸底试验 | 4 | 「BMS/电池系统」共模干扰进入信号回路 → 测量噪声增大甚至误诊断 →「整车/终端用户」共模干扰导致测量噪声增大；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | M | — |
密封、灌封、安装、端子、腐蚀与焊点疲劳
| # | 结构要素 | 失效模式 FM | 失效起因 FC（仅设计起因） | 现行预防控制 PC | O | 现行探测控制 DC | D | 失效后果 FE（单栏·沿链写到终端用户） | S | AP | 特性 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| D-01 | E-10 壳体与灌封 | 壳体与连接器结合面密封失效进水 | 结合面密封压缩量按 12% 设计低于下限，且未考虑壳体翘曲 | 压缩量按 20~30% 设计 + 结构仿真验证（含翘曲与螺栓预紧分布） | 4 | IP 试验（IP6K9K）+ 气密性在线检测（100%） | 4 | 「BMS/电池系统」传感器进水后绝缘下降与信号漂移 → 演变为高压对地泄漏或采样读数失真 →「整车/终端用户」进水导致绝缘下降与读数失真；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| D-02 | E-10 壳体与灌封 | 灌封层开裂或与基材分层 | 已定义灌封厚度；【缺】界面附着力数据、底涂工艺与分层检测手段 | 已定义灌封厚度 | 4 | 热冲击后 X 光 / 超声扫描（SAT）检查分层与裂纹 | 5 | 「BMS/电池系统」灌封开裂后湿气直达高压区 → 绝缘下降并可能表面闪络 →「整车/终端用户」灌封开裂导致湿气直达高压区；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| D-03 | E-11 安装接口（铜排/螺栓） | 安装螺栓松动导致采样回路异常 | 力矩窗口只规定上限未规定下限；缺少防松结构 | 力矩 9±1 N·m 双边规定 + 力矩-角度监控；螺纹胶或碟簧防松 | 4 | 装配力矩数据采集（100%）+ 振动后力矩抽检 | 4 | 「BMS/电池系统」采样回路机械松动导致回路电阻变化与接触发热 → 计量偏差与局部过热 →「整车/终端用户」安装松动导致采样回路电阻变化；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | M | — |
| D-04 | E-11 安装接口（铜排/螺栓） | 接触面腐蚀导致接触电阻增大 | 铜排镀层（锡/镍）未与接触面材质做电偶腐蚀匹配（电位差 >0.25 V） | 镀层选型 + 电偶腐蚀评估（电位差 ≤0.25 V）；接触面涂导电膏 | 3 | 中性盐雾 480 h（GB/T 10125）+ 接触电阻复测 | 4 | 「BMS/电池系统」接触电阻增大导致回路压降与发热 → 大电流工况下计量偏差放大 →「整车/终端用户」接触电阻增大导致大电流下计量偏差；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
| D-05 | E-07 CAN 收发器与隔离 DC-DC | 振动导致大质量元件引脚疲劳断裂 | 已按常规布局布置；【缺】大质量元件的机械加固与振动模态仿真 | 已按常规布局布置 | 4 | 随机振动试验（ISO 16750-3）+ 焊点切片检查 | 5 | 「BMS/电池系统」隔离供电中断 → 传感器停止输出，BMS 进入安全降级 →「整车/终端用户」隔离供电中断导致传感器停止输出；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | M | — |
| D-06 | E-09 连接器与端子 | 端子微动磨损（fretting）导致接触电阻间歇增大 | 端子接触压力按 0.8 N 设计偏低，振动下产生微动磨损氧化 | 接触压力 ≥1.5 N 设计 + 镀金层厚度规定（耐磨） | 4 | 微动磨损试验（10⁶ 次微振）+ 接触电阻在线监测 | 5 | 「BMS/电池系统」接触电阻间歇性跳变 → 电流读数间歇性跳变或通信瞬断 →「整车/终端用户」接触电阻间歇跳变导致读数跳变；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | M | — |
| D-07 | E-09 连接器与端子 | 端子退针导致信号/供电中断 | 已选用标准端子；【缺】保持力 ≥60 N 要求、二次锁片与偏载工况验证 | 已选用标准端子 | 4 | 端子拉拔力测试 + 线束拉扯试验（含偏载 45°） | 4 | 「BMS/电池系统」电流采样通道中断 → BMS 判定通道故障并进入安全降级 →「整车/终端用户」电流采样通道中断；仪表故障灯点亮并进入限速/限功率运行（有预警），若预警同时失效则演变为追尾或起火风险。 | 9 | H | ★ |
| D-08 | E-11 安装接口（铜排/螺栓） | 紧固件腐蚀导致预紧力衰减 | 紧固件未做表面处理（达克罗/锌镍），与铝壳体形成电偶腐蚀 | 表面处理规范 + 电偶腐蚀评估；异种金属间加绝缘垫片 | 3 | 中性盐雾 480 h + 力矩复测（衰减 ≤15%） | 4 | 「BMS/电池系统」预紧力衰减导致接触电阻增大 → 大电流工况下局部过热 →「整车/终端用户」预紧力衰减导致接触电阻增大；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | — |
| D-09 | E-02 分流器焊接界面 | 温度循环导致焊点疲劳开裂 | 已有焊接工艺规范；【缺】焊点疲劳寿命（Coffin-Manson）评估与寿命目标分解 | 已有焊接工艺规范 | 4 | 温度循环 1000 次（−40/+125 ℃）+ 焊点切片检查 | 5 | 「BMS/电池系统」焊点开裂导致采样回路时通时断 → 电流读数间歇跳变 →「整车/终端用户」焊点开裂导致采样回路时通时断；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | M | — |
反接/过压、纹波、复位时序、基准精度与唤醒
| # | 结构要素 | 失效模式 FM | 失效起因 FC（仅设计起因） | 现行预防控制 PC | O | 现行探测控制 DC | D | 失效后果 FE（单栏·沿链写到终端用户） | S | AP | 特性 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| E-01 | E-07 CAN 收发器与隔离 DC-DC | 供电反接或过压导致传感器损坏 | 反接保护二极管压降使低压端有效供电低于 LDO 压差要求 | 反接保护 + 过压保护（ISO 16750-2）；供电链路压降预算与降额设计 | 2 | 反接/过压试验（ISO 16750-2，含 26 V/60 min 过压） | 3 | 「BMS/电池系统」传感器永久损坏停止输出 → BMS 进入安全降级策略 →「整车/终端用户」传感器永久损坏停止输出；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | — |
| E-02 | E-05 ADC 与基准电压源 | 电源纹波超差导致测量精度劣化 | DC-DC 输出纹波 50 mV 未在 ADC 误差预算中计入（PSRR 未评估） | 纹波 ≤20 mV 设计 + 后级 LDO；PSRR 逐频率评估并写入预算 | 3 | 纹波实测 + 叠加纹波后的精度复测 | 4 | 「BMS/电池系统」测量噪声增大导致电流读数波动 → SOC 抖动与限值反复触发 →「整车/终端用户」测量噪声增大导致电流读数波动；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
| E-03 | E-06 MCU 与诊断逻辑 | 上电复位时序异常（标定系数未加载即输出） | 复位释放时间 5 ms，标定系数加载未完成即允许报文输出 | 复位时序预算 + 就绪状态位设计（未就绪时输出无效值） | 3 | 上电时序实测（含 −40 ℃ 冷启动与最低供电电压） | 4 | 「BMS/电池系统」上电初期输出错误电流值 → BMS 在启动窗口内按错误数据执行限值 →「整车/终端用户」上电初期输出错误电流值；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | — |
| E-04 | E-05 ADC 与基准电压源 | 基准源初始精度不足且未经出厂修正 | 基准初始精度 0.1% 未经出厂逐台校准修正，直接进入总误差 | 出厂逐台校准并写入修正系数（含回读校验） | 2 | EOL 校准 + 校准系数回读校验 + 抽检精度复测 | 3 | 「BMS/电池系统」全量程读数存在固定比例偏差 → SOC 与续航估算系统性失准 →「整车/终端用户」基准初始偏差导致系统性比例误差；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
| E-05 | E-06 MCU 与诊断逻辑 | 低功耗唤醒异常（短唤醒脉冲丢失） | 唤醒源滤波时间常数 100 ms，短于该值的唤醒脉冲被滤除 | 唤醒源最小脉宽规定 10 ms；滤波参数与整车唤醒策略联合定义 | 3 | 唤醒时序测试（含最小脉宽边界与连续唤醒压力） | 4 | 「BMS/电池系统」传感器未随整车唤醒 → BMS 在行车初期无电流数据 →「整车/终端用户」传感器未随整车唤醒导致无电流数据；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | — |
标定系数、存储完整性、温区覆盖、溯源与版本兼容
| # | 结构要素 | 失效模式 FM | 失效起因 FC（仅设计起因） | 现行预防控制 PC | O | 现行探测控制 DC | D | 失效后果 FE（单栏·沿链写到终端用户） | S | AP | 特性 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| F-01 | E-12 标定与配置存储 | 标定系数未写入或写入错误值 | 产线标定工位无防错，系数写入后未回读校验 | 标定流程防错（扫描→标定→回读→判定）+ 系数 CRC 校验 | 3 | EOL 系数回读校验（100%）+ 抽检精度复测 | 4 | 「BMS/电池系统」传感器按错误系数输出电流值 → 全量程比例误差 →「整车/终端用户」错误标定系数导致全量程比例误差；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | L | CC |
| F-02 | E-12 标定与配置存储 | 存储数据位翻转导致系数被改写 | 已用 EEPROM 存储标定系数；【缺】ECC 或双区冗余与启动校验 | 已用 EEPROM 存储标定系数 | 4 | 高温数据存储试验（1000 h @125 ℃）+ 位翻转统计 | 5 | 「BMS/电池系统」标定系数被改写导致读数偏移 → 计量失准且无诊断上报 →「整车/终端用户」系数被改写导致读数偏移；车辆动力受限或抛锚，需道路救援，行程中断且产生拖车与维修成本。 | 8 | M | — |
| F-03 | E-12 标定与配置存储 | 标定温区覆盖不足（仅 25 ℃ 单点标定） | 标定流程仅做 25 ℃ 单点，未建立全温区补偿模型 | 三温区（−40/25/125 ℃）标定 + 温补模型拟合并写入 | 4 | 标定后全温区精度验证（含端点与中间温度点） | 4 | 「BMS/电池系统」非标定温度点精度劣化 → 冬季/夏季工况计量偏差扩大 →「整车/终端用户」非标定温区精度劣化；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | M | CC |
| F-04 | E-12 标定与配置存储 | 标定溯源链断裂（标准源未溯源） | 产线标准电流源未溯源至国家计量基准，校准证书超期 | 溯源链管理（标准源年度校准 + 证书台账） | 2 | 校准证书年度审核 + 标准源期间核查与比对 | 3 | 「BMS/电池系统」标定值存在系统性偏差 → 同批次产品精度一致性无法保证 →「整车/终端用户」标定值系统性偏差影响批次一致性；测量精度或功能性能下降、用户体验劣化，但车辆可正常行驶，不构成安全或法规风险。 | 6 | L | — |
| F-05 | E-12 标定与配置存储 | 配置参数被误改写 | 配置区无写保护，诊断服务在整车端可改写关键参数 | 配置区写保护（密码/物理熔丝）+ 会话与权限分级 | 2 | 误改写注入测试（越权写入尝试） | 4 | 「BMS/电池系统」量程/滤波等配置被改写 → 输出特性偏离标定状态 →「整车/终端用户」配置被改写导致输出特性偏离；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | — |
| F-06 | E-06 MCU 与诊断逻辑 | 软硬件版本不匹配 | 版本兼容性矩阵未定义，新旧硬件混装不同软件版本 | 版本兼容性矩阵 + 启动时版本校验（不匹配进入安全态） | 3 | 版本组合启动测试（矩阵全覆盖） | 4 | 「BMS/电池系统」传感器输出特性与 BMS 期望不一致 → 解析错误或精度劣化 →「整车/终端用户」版本不匹配导致输出解析错误；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | — |
| F-07 | E-05 ADC 与基准电压源 | 产线标定工位精度不足（测量能力比不满足 4:1） | 标定工位标准源精度 0.1%，对 ±0.5% FS 产品公差未满足 4:1 能力比 | 标定工位按 4:1 精度比配置（标准源 ≤0.05%）；纳入 MSA 计划 | 3 | 标定工位 MSA（Gage R&R ≤10%）+ 标准源期间核查 | 4 | 「BMS/电池系统」标定引入的工位误差进入产品 → 同批次精度离散增大 →「整车/终端用户」标定工位误差导致批次精度离散增大；SOC 显示与实际电量不符、续航虚高或虚低、充放电时机错误，长期导致动力电池加速老化与容量衰减。 | 7 | L | CC |
风险汇总 · FMEA-MSR · 降额与安全 · 优化闭环Risk Roll-up, FMEA-MSR, Derating & Safety, Optimisation
① 风险分布（AP / S / 特殊特性，均由数据自动统计）→ ② FMEA-MSR 补充分析（监视及系统响应，AIAG-VDA 新增）→ ③ 降额准则与功能安全指标 → ④ DFMEA 与 PFMEA 的分工边界 → ⑤ Step 6 优化措施闭环 → ⑥ DVP&R 关联矩阵 → ⑦ 特殊特性向下游工具的传递链。所有数字由 tools/design/_gen/ 下的规范源生成，禁手改。
AP 行动优先级分布
- H 高 16 项（33.3%）：必须有改进措施 + 管理层评审
- M 中 10 项（20.8%）：团队酌情，须记录理由
- L 低 22 项（45.8%）：记录即可
- 合计 48 项 · 全部由 AP 网格查表得出，禁 RPN 阈值
严重度 S 分布 & 特殊特性
- S10=6 · S9=10 · S8=12 · S7=16 · S6=4
- ★ 安全相关 16 项（S≥9）：传递至 DVP&R 安全项、PFMEA、控制计划
- CC 重要度 12 项（7≤S≤8）：过程能力 Cpk ≥1.33，纳入 SPC
- 无特性 20 项：按一般特性管理
普通 DFMEA 回答"会不会坏、坏了多严重"；FMEA-MSR 回答"坏了以后系统能不能发现、发现了怎么办"。对安全相关（S≥9）且依赖诊断的失效必须补做：把发生度 O 换成频率 F（关注运行工况下的暴露），把探测度 D 换成监视度 M（诊断机制能在多大程度上发现它）。
| FM | 失效模式 | 监视机制（诊断） | 系统响应 | M | F | 说明 |
|---|---|---|---|---|---|---|
| A-04 | 分流器熔断/开路 | 供电电流与采样值范围检查 + 开路检测（上/下拉诊断电流） | BMS 判定通道故障 → 限功率并点亮故障灯 | M2 | F2 | 开路为显性失效，诊断响应在一个驱动循环内完成 |
| B-02 | MCU 程序跑飞 | 独立时钟看门狗 + 程序流监控 + 电流值合理性校验 | MCU 复位并在 50 ms 内重新输出；连续失败则进入安全态 | M3 | F2 | 共因失效是 MSR 的重点：看门狗与主时钟同源时监视失效 |
| B-04 | CAN 报文丢失 | 报文超时监控（E2E 计数器）+ BMS 侧超时判定 | BMS 用上一有效值维持 3 个周期后进入限功率 | M2 | F3 | 负载率 ≤50% 后丢帧概率显著下降，频率按 F3 评估 |
| B-07 | EMC 闩锁/寄存器翻转 | 关键寄存器周期性回读比对 + 看门狗 + 输出范围检查 | 检测到翻转即复位并置故障位 | M4 | F3 | 闩锁后寄存器状态不可预测，仅靠范围检查检出率有限 |
| C-01 | 爬电闪络 | 绝缘电阻监测（BMS 侧 IMD）+ 耐压在线趋势 | IMD 报警 → 断开高压接触器 | M5 | F1 | 闪络为突发且不可预测，监视只能事后响应，故 M 偏高 |
| B-08 | 掉电安全态超时 | 掉电检测电路自检 + 上电时序诊断 | 掉电时输出置无效值；BMS 按超时处理 | M3 | F1 | MSR 的价值在于把「无输出」与「有效零电流」区分开 |
| 准则 | 要求 | 本案例取值 |
|---|---|---|
| 电压降额 | 隔离屏障工作电压 ≤50% 额定耐压 | 2.5 kV 额定 → 工作 ≤1.25 kV |
| 电流降额 | 持续电流 ≤80% 额定 | 400 A 额定 → 持续 ≤320 A（含公差叠加） |
| 温度降额 | 元件结温 ≤80% 最大额定结温 | Tj max 150 ℃ → 设计 ≤120 ℃ |
| 功率降额 | 分流器功耗 ≤60% 额定功率 | 16 W @400 A → 降额后 ≤9.6 W |
| 单点失效 | 安全相关失效须有安全机制覆盖 | FMEDA：SPFM ≥90%、LFM ≥60%、PMHF <100 FIT（ASIL B） |
| 类别 | 典型内容 | 本案例示例 |
|---|---|---|
| 设计起因（归 DFMEA） | 公差/裕度不足、材料或器件选型错误、降额不足、拓扑与算法缺陷、诊断策略缺失、试验覆盖不足、规范未定义 | A-01 TCR 选型未覆盖自热；B-02 看门狗与主时钟同源；C-01 未按污染度 3 设计 |
| 制造起因（归 PFMEA） | 焊接参数漂移、灌封气泡、装配力矩偏差、清洁度、ESD 损伤、标定工位误差、混料 | 「回流焊温度超窗」「点胶量不足」—— 这些不进 DFMEA 的 FC 列 |
| 交叉地带（两侧都要看） | 设计规定了规范但制造无法稳定达成 → DFMEA 记「规范不可制造」，PFMEA 记「过程能力不足」 | F-07 标定工位 4:1 能力比：DFMEA 侧是「规范未定义测量能力要求」，PFMEA 侧是「工位精度不足」 |
- 常见错误把"虚焊""点胶量不足""力矩衰减"写进 DFMEA 的 FC 列——这些是制造变异，属 PFMEA。DFMEA 该写的是"焊盘热设计不足，未规定热循环下的界面可靠性要求"。
- 常见错误PFMEA 里写"设计裕度不足"——那是设计问题，应回 DFMEA 改设计，而不是在过程上加检验。
- 常见错误两侧都写"操作不当"——既不改设计也不改过程，等于没有措施。
AP=H 共 16 项，此处列出优先级最高的 5 项作为示范（其余按同一格式展开）。每项的「措施后」列是验证通过后的重评值，不是计划值——措施未经验证不得改分。
| FM | 措施（从 → 到） | 责任人 | 期限 | 措施后 S | 措施后 O | 措施后 D | AP 变化 |
|---|---|---|---|---|---|---|---|
| B-02 | 看门狗与主时钟同源 → 看门狗独立时钟源 + 时钟监控单元（CMU） | 硬件负责人 | DV 前 | 10→10 | 2→1 | 4→3 | H → L |
| C-03 | 灌封无气泡验收准则 → 增加真空脱泡参数 + X 光全检 + PD ≤5 pC 判据 | 工艺负责人 | DV 前 | 10→10 | 3→2 | 5→3 | H → L |
| B-07 | EMC 闩锁无防护 → IO 口串阻 + TVS + 关键寄存器周期回读比对 | 硬件负责人 | DV 前 | 9→9 | 4→3 | 6→4 | H → M |
| D-01 | 密封压缩量 12% → 提高到 20~30% 并做结构仿真 + 气密 100% 在线检测 | 结构负责人 | DV 前 | 9→9 | 4→2 | 4→3 | H → L |
| B-03 | 诊断覆盖率无目标 → FMEDA 分解 DC ≥90% 并做故障注入覆盖验证 | 功能安全负责人 | 设计冻结前 | 9→9 | 3→2 | 5→3 | H → M |
| 试验项 | 覆盖 FM | 试验条件 | 依据标准 | 验收准则 |
|---|---|---|---|---|
| DV-01 全温区精度试验 | A-01 A-02 A-06 A-09 A-11 A-12 | −40~125 ℃ × 5 电流点 | GB/T 28046 / 企标 | 精度 ≤±0.8% FS |
| DV-02 全温区线性度与回程 | A-07 A-08 A-11 | 升/降各 11 点 | 企标 | 线性度 ≤0.5% FS，回程 ≤0.2% FS |
| DV-03 耐压与局部放电 | C-01 C-02 C-03 C-06 | 2.5 kV RMS/1 min + PD | IEC 60664-1 / GB/T 18384.3 | 无击穿，PD ≤5 pC |
| DV-04 绝缘电阻与湿热老化 | C-02 C-04 | 1000 h @85 ℃/85% RH | IEC 60068-2-78 | 绝缘 ≥100 MΩ |
| DV-05 EMC 抗扰与电瞬态 | B-07 C-07 | ISO 11452-2/4、ISO 7637-2/3 | ISO 11452 / ISO 7637 | 性能等级 A |
| DV-06 随机振动与机械冲击 | D-03 D-05 D-06 D-09 | ISO 16750-3 随机 8 h×3 轴 | ISO 16750-3 | 无机械损伤、精度保持 |
| DV-07 IP 防护与气密 | C-04 D-01 D-02 | IP6K9K + 气密 100% | ISO 20653 | 无进水，泄漏率 ≤5 sccm |
| DV-08 短路耐受与 I²t | A-04 | 5 kA 峰值 / SCT | IEC 60269 | 不熔断、不起火 |
| DV-09 故障注入与诊断覆盖 | B-02 B-03 B-05 B-08 | 逐条注入 + 覆盖率统计 | ISO 26262-5 | DC ≥90%，响应 ≤10 ms |
| DV-10 通信压力与 E2E | B-04 B-05 | 48 h 满负载 + E2E 注入 | ISO 11898 / AUTOSAR E2E | 无丢帧，E2E 全部检出 |
| 特性 | 来源 | 向下游传递 | 本案例涉及行 |
|---|---|---|---|
| ★ 安全相关 | DFMEA 中 S≥9 的行（16 项） | 图纸标注 ★ → DVP&R 安全项 → PFMEA 高 S 行 → 控制计划特殊特性 → MSA 与 SPC 加严 | A-04 B-02 B-03 B-04 B-05 B-07 B-08 C-01 C-02 C-03 C-04 C-05 C-06 D-01 D-02 D-07 |
| CC 重要度 | DFMEA 中 7≤S≤8 且影响功能的行（12 项） | 图纸标注 CC → 过程能力 Cpk ≥1.33 → 控制计划监视 → SPC 控制图 | A-01 A-02 A-05 A-06 A-09 A-12 D-04 E-02 E-04 F-01 F-03 F-07 |
衔接全工作台：一个案例跑通五大工具（规划中）
本案例不只是 FMEA 范本——它可作为 APQP → PPAP → 控制计划(CP) → MSA → SPC 全工具链的"母本"：设计阶段输出本 DFMEA 与样件控制计划；过程开发阶段由 PFMEA 接棒并生成试生产控制计划；MSA 验证电流标定工位（Gage R&R ≤10%，见 F-07）；SPC 对 ±400 A 满量程精度做过程能力研究（Ppk ≥1.67）；最终以 PPAP 提交客户，并回链全尺寸（DimensionalResults）与材料试验（MaterialTest）报告。关键在设计数据一致性：本表的 ★ 特性要一路传递到 CP 的控制方法、SPC 的控制图与 PPAP 的提交清单。