四、有效实施关键项目清单（CIL）的建议

1.FMEA的结果与故障树分析（FTA）和危险分析（HA）的相互关系：FMEA/CIL的资料可作为危险分析过程的输入。危险分析采用故障树，基本上是一个由而上而下的分析方法，它关注的是人为差错以及FMEA/CIL基本规则所没有考虑的多个非相关失效模式。2.采用概率风险评估：在为产品研制组提供一个洞察安全因素和强调关键项目或单点失效保留的理由方面，概率风险评估已被证明是有用的程序。如果可以证明故障风险被降至一个可接受的低水平，则安全余量对尚存的潜在失效模式或关键项目的可接受性有很大的影响。3.工艺、设备和设施关键项目分析：制造、组装和试验工艺、设备和设施的失效，对飞行硬、软件避免造成任务失败或生命威胁只有非直接的影响。尽管如此，进行工艺、设备和制造设施的FMEA，对其失效可能影响系统性能或可用性的关键项目的识别，提供了有价值的帮助。如果硬件制造巧妙地使用统计过程控制方法，可帮助发现可能导致性能或进度受到影响的那些即临失效的条件。4.关键项目的计算机辅助管理：与使用电子信息处理技术相结合的通用编号系统可以加快CIL的实施和管理过程。对许多系统单元来说，当失效模式或原因相同或相关时，这些失效模式或原因可以参照，而不必重复，从而减少了保留理由中的文字量。如果有了通用编号系统，则关键项目清单可能更易借鉴由故障树分析和危险分析得到的相应信息。5.CIL作为路径图（road-map）保留的理由：在硬件和软件方案中，初期提出的CIL保留的理由可以用作研制计划、试验与检验的路径图。进而，为防止任务、飞行器的失败以及人员生命的丧失，可对研制方案的内容作专门的剪裁。这种路径图可用来识别检验点，并有助于避免相同硬件过多的连续检验。开展CIL的工作方式不应影响重要的项目里程碑或在费用、进度或性能方面产生增加不必要的重复工作（work-around）。例如需要能迅速处理关键项目中偏差的方法。

五、关键项目清单的应用

CIL有很多应用，其中较重要的应用是（1）为了满足可靠性要求和避免失效，在设计过程的前中、后期，对一个产品、过程或项目（型号工程）的分析；（2）评价设计、材料或制造变化对可靠性的影响；（3）对试验期间经历的故障进行评估；（4）避免故障重复出现的设计更改建议；（5）确定所保留的对任务是致命的，或对生命有危险的单点失效或冗余失效模式的风险。一些有助于设计的FMEA/CIL方法典型应用的具体例子如下：1.“挑战者”事故后，对空间实验室的重新认证在“挑战者”事故后，对空间实验室的重新认证期间，FMEA揭示了惯性指向系统（IPS）紧急投掷电路中的一个潜在的单点失效，将造成使应急解除保险开关短路的条件，进而可能引爆所有4个NASA标准点火器。分析还揭示供配电分离装置（harnessseparator）在这些情况下不点火。对供配电部分进行的详细FMEA还揭示了几个对任务关键、必须予以纠正的不正确的接线。此外，还发现有效载荷保持门锁组件需要一个冗余工作模式。结果，增加了冗余终端开关。

2.固体火箭发动机（RSRM）项目的再设计在对RSRM关键项目清单的常规评审和评价期间，发现关于完成喷嘴连接3和4的表面二次密封的规范保留一个1类危害度等级（它是危害度为1的失效模式，但带有第二个或备份的系统）是不恰当的。在二次密封表面允许深达50 u（0.001英寸）的缺陷。而在主（一次）密封处，为了保证融合，只要有3u深的缺陷也必须返工。CIL分析表明，事实上存在一个危害度为1的（可能丧失生命）危害。

3.航天飞机主发动机（（SSME）独立风险评估在SSME 1209号的轴承外壳中发现污染时，为了对问题作出评估并确定发动机飞行是否安全，成立了一个专门的独立风险评估组。评估组为了了解故障和可能潜在的安全危险问题，在很大程度上依赖于NASA/马歇尔空间飞行中心和SSME承包商人员过去业已完成的FMEA/CIL的分析。评估组确认了保留产生污染条件的理由，并判断发动机对飞行是安全的。以后的成功飞行（多次任务）表明该发动机没有潜在的失效。

六、结束语

关于现有的和将出现的与失效识别、管理和控制有关的项目（型号）的广泛分析工作已形成了很好的处理关键项目的文件化的、严格的程序。项目的工程与管理的并行工程方法，在设计过程中以及在低得多的产品层次上较早地关注更多细节。保证成功意味着消除或减少潜在的失效模式。消除或减少潜在的失效模式，只能通过在方案/设计阶段早期，考虑应用失效模式和影响分析、关键项目识别（FMEA/CIL）以及谨慎的工程管理来实现。FMEA/CIL过程的好处是：（1）能系统地认别所有可信的失效模式和原因；（2）把关键的单点失效和冗余程度作为重点；（3）为关键失效模式/原因提供风险可接受的依据；（4）提供对关键项目，以及相关的程序、规范和过程的管理控制；（5）提供一份与给定项目（型号）有关的唯一的一致的全部关键项目表。