硬件 DFMEA 可靠性设计实战：嵌入式电路板失效模式分析与风险控制

DFMEA（设计失效模式及后果分析）是**嵌入式**电路板可靠性设计的核心方法：把每个潜在失效模式按严重度 S、发生度 O、探测度 D 三项十级评分，三者的乘积 RPN 就是该失效模式的风险值，RPN=严重度×发生度×探测度。评分 9~10 分的严重失效无论 RPN 大小都必须优先整改，其余按 RPN 从高到低逐项闭环。本文基于《故障模式影响分析－FMEA 教程》（GJB 1391 与 QS9000 体系）技术资料，给出 DFMEA 七步分析流程、评分准则与嵌入式电源/接口/MCU 电路的实战工作表，适用于**物联网**终端、工业控制板等硬件产品的研发评审。

为什么可靠性设计要引入 FMEA

FMEA（Failure Mode and Effects Analysis）起源于 20 世纪 50 年代初，美国格鲁门飞机公司在研制飞机主操纵系统时首次采用并取得良好效果，此后逐步推广到航空、航天、汽车、电子等工业领域，成为产品研制中必须完成的可靠性分析工作。它的基本思路是：在产品寿命周期的设计阶段就系统性地问“每个零件、每个功能会以什么方式失效、造成什么后果、能不能被检测出来”，而不是等到样机测试甚至量产售后才暴露问题——后者带来的返工成本与时间损失远高于设计阶段的预防投入。

按产品寿命周期阶段划分，FMEA 分为方案阶段的功能 FMECA、研制阶段的硬件 FMECA 与软件 FMECA、生产阶段的工艺 FMECA、使用阶段的统计 FMECA。工程实践中最常见的是三种：功能 FMEA（FFMEA）、硬件设计 FMEA（DFMEA）与工艺 FMEA（PFMEA）。本文聚焦硬件设计 DFMEA，即针对电路原理图与 PCB 设计分析失效风险。

DFMEA 七步分析流程

教程给出的标准分析流程共七步，适用于电路板级分析：第一步明确分析范围，根据系统复杂度与重要程度确定纳入分析的电路模块；第二步系统任务分析，用任务剖面描述产品的工作条件与环境；第三步系统功能分析，明确各模块应实现的功能与工作时长；第四步确定故障判据，定义“正常”与“故障”的判别准则；第五步选择 FMEA 方法；第六步实施分析，依次完成故障模式、故障原因、故障影响、故障检测方法与补偿措施分析；第七步给出结论，找出薄弱环节并落实改进。

实施阶段要区分两组关键概念。一是功能故障与潜在故障：功能故障是突然彻底丧失功能（如电源无输出），潜在故障是功能故障前的可鉴别状态（如电解电容鼓包、晶振输出幅值衰减），潜在故障可用于故障监控与预测维护。二是故障模式与故障原因：故障模式是可观察的失效表现形式（短路、开路、漂移），故障原因是失效机理（如“晶体管内基片有裂缝”导致“集电极到发射极开路”），只有定位到原因才能对症整改。

两套评价体系：GJB 1391 与 QS9000

教程介绍了两种主流 FMEA 体系。GJB 1391-92（国军标）采用严酷度类别（Ⅰ~Ⅳ类）与故障模式危害度 Cr 的定量分析，输出 FMEA 表、CA 表与危害性矩阵图；QS9000（汽车行业）采用严重度/发生度/探测度三要素十级评分，输出风险顺序数 RPN，更适合嵌入式产品研发阶段的风险排序与闭环跟踪。

两类体系可以互相转化：GJB 的严酷度类别可映射为 QS9000 的严重度评分，故障模式发生概率等级可映射为发生度评分。对绝大多数嵌入式产品，采用 QS9000 的 RPN 方法更直观、易落地。

三要素十级评分准则

评分是 DFMEA 的“度量衡”，必须使用统一准则。严重度评价的是失效后果的严重程度，只有设计变更才能降低；发生度评价失效原因出现的可能性，只能通过设计更改或设计过程改进（如设计检查表、设计评审）来降低；探测度评价现行设计控制找出失效原因或模式的能力，数值越低代表越容易被发现。

评分时有两条铁律：其一，不论 RPN 大小，严重度为 9 或 10 的失效模式必须赋予特别关注，通过设计变更降低严重度或加保护措施；其二，探测度针对的是“现行设计控制”（已用于或正用于相似设计的方法），而不是计划中的措施，评分时要如实评估当前状态。

真实案例：10V 转 7V 分压器的 FMEA

教程用最简单的分压器演示完整分析过程：功能要求输入 10V 输出 7V，由 R1、R2 串联分压实现。逐项分析每个元件的故障模式与影响后，发现 R2 短路是最危险的情形——输出直接升到 10V，并产生过电流烧坏用电负载。针对该风险提出的补偿措施有三条：在电路中增加保险丝或限流二极管，防止 R2 短路时的过电流烧坏负载；选用高质量等级的精密电阻，使参数漂移小于 15%；若不提高阻值，则提高 R1、R2 的额定功率以消除短路引起的烧坏后果。

这个案例说明 DFMEA 的价值不在于“发现短路”，而在于把“R2 短路会烧负载”这个高风险链条在原理图评审阶段就识别出来，并落到具体的补偿措施上。若按 RPN 打分，R2 短路可评为 S=8、O=4、D=5，RPN=160，属于必须整改项。

嵌入式电路板 DFMEA 实战工作表

把上述方法套用到典型嵌入式电路板，可以从电源、接口、MCU 三大模块开始建表。下表为示例评分（S/O/D 依据上节准则，供建立模板参考），实际项目应由硬件、软件、测试、工艺组成的跨职能小组共同打分。

示例中 RPN 最高的是 3.3V 电源电容短路（160），其次是看门狗失效（144），应优先整改：电源侧增加限流与保护电路，软件侧换独立窗口看门狗。措施落实后重新评分，RPN 应显著下降，直到全部低于可接受阈值（如 100）或达到 S≤5。

用脚本管理 RPN 排序与跟踪

失效模式数量多时，用代码维护工作表并按 RPN 排序，可以避免人工排序遗漏高风险项。

# DFMEA 工作表：RPN 排序与严重度告警
items = [
    ("电源输入TVS短路", 8, 3, 4),
    ("3.3V电容短路",   8, 4, 5),
    ("晶振停振",       7, 3, 5),
    ("接口ESD损坏",    7, 4, 4),
    ("看门狗失效",     6, 4, 6),
]
rows = []
for name, s, o, d in items:
    rpn = s * o * d
    rows.append((rpn, name, s, o, d))
rows.sort(reverse=True)          # RPN 从高到低
for rpn, name, s, o, d in rows:
    flag = " <-- 严重度9/10，强制关注" if s >= 9 else ""
    print(f"{rpn:4d}  S={s} O={o} D={d}  {name}{flag}")

脚本输出按 RPN 降序的整改队列，并对严重度 9/10 的失效模式自动告警。建议把 DFMEA 表纳入研发里程碑评审：原理图评审完成初版，PCB 评审更新一次，样机测试后根据实测数据修订发生度与探测度，形成持续改进闭环。

结语

硬件 DFMEA 是把“可靠性”从口号变成可度量流程的方法：通过七步分析穷举失效模式，用严重度、发生度、探测度三要素把风险量化为 RPN，先消灭 S≥9 的严重失效，再按 RPN 排序逐项整改并重新评分，直到风险全部收敛到可接受水平。嵌入式产品团队应在原理图评审阶段建立 DFMEA 工作表，让硬件、软件、测试与工艺共同参与打分与措施闭环。本文基于《故障模式影响分析－FMEA 教程》（北京运通恒达，GJB 1391/QS9000 体系）技术资料整理优化，与站内《工业物联网系统可靠性设计》一文在“软硬件容错工程”层面互为补充。