本篇先应一位读者的提醒，把《美国可靠性工程实践之环境因素》中的组合环境影响矩阵的图更新一下，非常感谢大家的支持与提醒。

闲话少叙，回归正题。

一、概述

1、方法：在项目(型号)的早期即着手编制关键项目清单(CILs)，以在设计状态冻结前识别和可能消除关键项目，并将其作为对硬件和软件设计、试验和检验的策划活动的输入。在寿命周期中的任务运行期间使用关键项目清单，以对故障进行管理，保证任务成功。2、益处：通过编制和保持关键项目清单，尽早识别、跟踪和控制关键项目，将为研制生产工作提供有价值的输入。通过形成关键项目清单的活动可以识别关键的设计特性、试验、检验点和程序，并加以控制，进而使任务失败和生命丧失的概率降至最小。3、已成功使用该方法的项目：固体火箭发动机助推器(RSMB)、航天飞机主发动机(SSME)、固体火箭助推器(SRB)和外贮箱(ET)。

二、背景

开展“失效模式和影响分析”（FMEA）去识别失效模式。作为该过程的一部分，也就识别了可能导致生命丧失和任务失败的关键失效模式。然后，把这些关键失效模式列入“关键项目清单”。为了有计划地进行控制，应通过落实检验要求、试验要求和/或使失效模式出现概率最小的专门的设计特性或设计更改，对关键项目清单作认真的审查。失效模式、影响分析以及由此产生的关键项目清单不仅能作为对系统可靠性设计的一种检查，而且也能作为产品或服务的主要设计动力。可靠性管理包括为使一个给定产品在规定的环境条件下得到适当的性能，对设计、制造、试验和运行的可靠性分析进行协调的活动。可靠性管理与项目管理、设计、制造、试验和检验以及质量的职能均有接口。通过编制和准备可靠性计划、完成具体产品的设计分析、支持传统的可靠性分析活动并应用并行工程的方法使项目/产品工作组加入的形式，实施可靠性管理（见NASA TM-4322 GD-ED-2204）。进行FMEA/可靠性关键项目分析过程（如图1所示）在可靠性管理中起了关键作用。FMEA/可靠性关键项目分析过程的主要输出是关键项目清单。

图1

三、关键项目清单和保留的理由

在集高技术和多学科于一身的航天项目研制早期，形成并保持关键项目清单的作用，己改变了人们对其的认识。通过失效模式影响分析（FMEA）识别关键项目。FMEA的过程包括对一个复杂系统中的每一个硬件或软件单元的每一种失效模式进行由下而上的分析，进而确定失效对系统“最坏情况”的影响。如果某项产品有一种失效模式可能导致机毁人亡和任务失败，则该项目/产品即被列入“关键项目清单”。在项目整个寿命周期中，与设计过程同时开展FMEA，并形成关键项目清单是极其有效的。FMEA将识别“单点失效”（SFPs）和关键冗余项目。典型的单点失效定义为其失效可能导致机毁人亡和任务失败或运载系统损坏单个硬件产品（通常在部件级）。不允许在设计中保留单点失效是NASA的基本政策。除非特殊情况，如技术、操作或费用等原因妨碍设计这样去做。允许单点失效点存在需要提出判据或理由，说明所采取的措施、安全余量、失效防范措施、试验或检验可以保证硬件的关键项目不会以FMEA中指出的模式失效。硬件或软件产品被列入关键项目清单的典型理由包括设计、试验、检验、故障历史和操作使用方面的下述信息：1.设计原理：在硬件或软件单元设计中确立的设计特征和/或设计余量，应降低失效模式出现的概率，和/或减少或消除导致该失效模式产生的潜在原因。2.试验原理：应说明在验收和验证试验期间，为检出潜在失效原因而完成的特定试验。3.检验原理：应说明在硬件或软件制造、装配和总装过程中，为检测失效模式的敏感性，或发现和评估出现失效模式的概率及其潜在的原因所采用的特定的检验方法、程序、工具和技术。4.故障历史：故障历史和纠正措施作为允许单点失效点存在于关键项目清单中的理由之一，应说明作为一种潜在危险的以前失效的原因已经排除或减少，并提供趋势分析。5.操作使用原理：为预防特殊的失效模式或一旦发生这种失效模式可减轻其影响的特定的操作技术，作为允许其存在的理由的一部分。它包括飞行规则、机组程序这样的因素，如应急停止特征或专门的机组培训。它还包括紧急行动，如舱外活动和意外的飞行中维修程序。图2为关键项目保留的过程。

图2