Fehlermöglichkeits- und Einflussanalyse (FMEA)

Ziel

Die FMEA beantwortet eine Frage, die sich vor der Inbetriebnahme stellt: Wie kann dieser Prozess oder dieses System versagen, und welche Fehler sind zuerst zu behandeln? Sie ersetzt das Sammeln von Befürchtungen in einer Sitzung durch eine Prüfung Funktion für Funktion und danach durch eine Rangfolge.

Die Methode stützt zwei Entscheide. Der erste betrifft die Inbetriebnahme: Ist das Risiko, das nach den Massnahmen bleibt, tragbar? Der zweite betrifft die Mittel: welche Massnahmen finanziert werden, in welcher Reihenfolge und mit welcher verantwortlichen Person. Die Rangfolge entscheidet diese zweite Frage. Ohne sie setzt sich der Fehler durch, über den am lautesten gesprochen wird.

Das Ergebnis ist das FMEA-Formblatt, eine Tabelle mit einer Zeile je Fehlerart oder je Ursache. Jede Zeile enthält die Fehlerart, ihre Folge, ihre Ursache, die bestehenden Kontrollen, die drei Bewertungen, die Priorität, die beschlossene Massnahme, die verantwortliche Person, den Termin und die nach der Massnahme neu berechneten Bewertungen. Das Formblatt lebt so lange wie das Produkt oder der Prozess: Jede Änderung öffnet es wieder.

Die Methode stammt vom US-Militär, das sie bereits 1949 im Verfahren MIL-P-1629 beschrieb. Die NASA übernahm sie für das Apollo-Programm, danach machte die Automobilindustrie sie zum Lieferantenstandard. Zwei Texte legen sie heute fest: die internationale Norm IEC 60812, allgemein gehalten, und das gemeinsame Handbuch von AIAG und VDA, 2019 für die Automobilindustrie veröffentlicht und weit über die Branche hinaus gelesen.

Einsatz

Wann einsetzen

• Vor einer Produktivsetzung: einen Fehler auf dem Papier zu beheben kostet weniger als nach seinem ersten Vorfall.
• Geänderter Prozess, geändertes System, geänderte Schnittstelle: erfassen, was die Änderung an bestehenden Funktionen beschädigen kann.
• Teurer Fehler: Sicherheit von Personen, Rechtskonformität, irreversibler finanzieller Verlust oder Reputationsschaden.
• Risikoliste zu lang für eine vollständige Bearbeitung: die Rangfolge zeigt, wohin das Verbesserungsbudget gehört.
• Wissen verteilt auf Fachbereich, Informatik und Betrieb: In der Sitzung arbeiten diese Personen Zeile für Zeile an einem einzigen Formblatt.
• Zulieferer der Automobilindustrie: der Kunde erwartet ein Formblatt nach dem AIAG-VDA-Handbuch.
• Vorfalldaten vorhanden: Tickets, Reklamationen und Feldrückläufer stützen die Bewertung des Auftretens auf Fakten.

Wann nicht einsetzen

• Fehler bereits eingetreten, Erklärung gesucht: seine Ursache mit der Ursachenanalyse suchen.
• Strategische oder Portfoliorisiken ohne zerlegbares Objekt: sie in einem Risikoregister führen, wie es Risikoanalyse und Risikomanagement beschreibt.

Beschreibung

Die klassische Methode, wie IEC 60812 sie beschreibt, reiht Zerlegung, Fehlersuche, Bewertung, Rangfolge und Massnahmen aneinander. Das AIAG-VDA-Handbuch von 2019 teilt dieselbe Arbeit in sieben Schritte und macht ausdrücklich, was die klassische Form offenliess: Vor dem vierten Schritt steht kein Fehler im Formblatt. Die sieben Schritte gelten auch für einen administrativen Prozess, wie das Beispiel zeigt.

Die Design-FMEA betrifft ein Produkt, ein System oder eine Software. Die Prozess-FMEA betrifft eine Folge von Schritten: Fertigung, administrative Bearbeitung, IT-Betrieb. Das AIAG-VDA-Handbuch ergänzt eine dritte FMEA-Art für die Überwachungsfunktionen eines Fahrzeugs im Betrieb. Die Business-Analystin begegnet vor allem der Prozess-FMEA und der FMEA einer Anwendung oder einer Schnittstelle.

1. Planen und vorbereiten

Die Vorbereitung legt den Umfang fest: wo das analysierte Objekt beginnt und endet, welche Schnittstellen zur Analyse gehören. Sie legt auch das Team fest. Vier bis sechs Personen genügen, sofern sie jene umfassen, die den Prozess aus dem Alltag kennen, jene, die das System kennen, und eine Person aus Qualität oder Risikomanagement. Die Business-Analystin moderiert die Sitzungen und führt das Formblatt.

Die drei Bewertungsskalen stehen vor der ersten Sitzung fest. Das AIAG-VDA-Handbuch veröffentlicht solche Skalen für die Automobilindustrie; ausserhalb davon schreibt die Organisation ihre eigenen. Jede Stufe trägt ein Kriterium, das zwei Personen ohne Absprache anwenden: "9, nicht rückholbarer Geldverlust oder Gesetzesverstoss" statt "9, sehr schwer". Eine Skala, die während der Sitzung ausgehandelt wird, verschiebt sich von Zeile zu Zeile, und die Rangfolge am Ende vergleicht Bewertungen, die sich nicht vergleichen lassen.

2. Das Objekt zerlegen

Die Strukturanalyse zerlegt das Objekt in Ebenen. Bei einer Design-FMEA gliedert sich das System in Teilsysteme, dann in Komponenten. Bei einer Prozess-FMEA gliedert sich der Prozess in Schritte und jeder Schritt in Arbeitselemente. Die Arbeitselemente sind die Ursachenkategorien des Schritts: Mensch, Maschine oder Software, Verbrauchsmaterial und Arbeitsumgebung. Ein Kontextdiagramm, ein Prozessmodell oder eine funktionale Dekomposition liefert die Grundlage. Fehlt diese Grundlage, erstellt das Team sie vor der ersten Sitzung.

Wer diesen Schritt auslässt, zahlt in dieser Methode den höchsten Preis. Ein Team, das sofort auflistet, "was schiefgehen kann", erzeugt Fehler auf vermischten Ebenen, Doppelungen und Lücken, und niemand weiss, was nicht geprüft wurde. Die Zerlegung listet die zu prüfenden Elemente auf und sagt damit, wann die Analyse vollständig ist.

3. Die Funktionen festlegen

Jedes Element erhält seine Funktion, formuliert aus Objekt und Verb, samt Leistungskriterium: "den freigegebenen Zahlungsauftrag an die Bank übermitteln, genau einmal, spätestens am 23. des Monats". Die Funktionen verknüpfen sich über die Ebenen: Die Funktion eines Schritts trägt zu jener des Prozesses bei. Ohne Kriterium lässt sich ein Fehler nicht bestimmen, denn ein Fehler ist eine Abweichung von diesem Kriterium.

4. Die Fehler analysieren

Eine Fehlerart ist die Weise, in der ein Element seine Funktion verfehlt. Das Team sucht für jede Funktion nach Ausbleiben, teilweiser Ausführung, Übermass, Verspätung und unbeabsichtigter Ausführung. Der Auftrag wird nicht übermittelt oder aber unvollständig, doppelt, zu spät oder verändert übermittelt. Jede dieser Fehlerarten bildet eine Zeile.

Die Fehlerfolge ist die Konsequenz der Fehlerart, gesehen auf der Ebene darüber bis hin zum Kunden, zu den Nutzenden oder zur Behörde. Die Fehlerursache liegt auf der Ebene darunter und ruft die Fehlerart hervor. Das AIAG-VDA-Handbuch verbindet diese drei Begriffe zu einer Fehlerkette: Die Fehlerart eines Elements ist die Ursache eines Fehlers auf der Ebene darüber und die Folge eines Fehlers auf der Ebene darunter. Die Kette verbindet die Zeilen des Formblatts über die Ebenen der Zerlegung hinweg, wo eine flache Liste sie bloss nebeneinanderstellt.

Eine Fehlerart hat oft mehrere Ursachen. Jede Ursache erhält ihre eigene Zeile, weil sie ihr eigenes Auftreten und ihre eigenen Kontrollen hat. Eine Zeile, die drei Ursachen zusammenfasst, erhält eine einzige Bewertung des Auftretens, und diese beschreibt keine der drei.

5. Das Risiko analysieren

Bewerten

Jede Zeile erhält drei Bewertungen von 1 bis 10. Sie betreffen drei Gegenstände, und wer diese verwechselt, verfälscht das Formblatt.

Die Bedeutung (B) bewertet die schwerste Folge der Fehlerart. Sie hängt weder von der Ursache noch von der Kontrolle ab: Eine Lohnzahlung an einen Dritten bleibt schwer, ob sie selten oder häufig vorkommt. Das Auftreten (A) bewertet die Wahrscheinlichkeit, dass die Ursache eintritt und die Fehlerart auslöst, unter Berücksichtigung der bestehenden Vermeidungsmassnahmen, also jener, die die Ursache verhindern. Die Entdeckung (E) bewertet die Fähigkeit der Entdeckungsmassnahmen, die Fehlerart oder ihre Ursache zu erkennen, bevor die Folge den Kunden erreicht. Die Entdeckungsskala ist umgekehrt: 1 heisst, dass die Kontrolle sicher entdeckt, 10, dass keine Kontrolle besteht oder dass sie diese Fehlerart nicht sieht.

Wer E nach der Seltenheit der Fehlerart bewertet, zählt das Auftreten doppelt. Eine Kontrolle, die erst greift, nachdem die Folge eingetreten ist, etwa eine Bankabstimmung am Tag nach der Auszahlung, erhält eine hohe Entdeckungsbewertung: Sie begrenzt den Schaden, ohne die Folge aufzuhalten.

Nach Risikoprioritätszahl ordnen

Die klassische Methode multipliziert die drei Bewertungen: Die Risikoprioritätszahl (RPZ, englisch RPN) ist B × A × E und reicht von 1 bis 1000. Von diesen tausend Werten erreicht das Produkt nur 120. Das Team sortiert das Formblatt nach absteigender RPZ, und die obersten Zeilen erhalten eine Massnahme.

Donald Wheeler hat die Mängel dieses Produkts aufgezeigt. Die drei Bewertungen sind ordinal: Sie ordnen, ohne zu messen. Eine 8 ist nicht doppelt so viel wie eine 4, und das Produkt dreier Ränge hat keinen arithmetischen Sinn. Verschiedene Risiken erhalten dieselbe RPZ.

Der schwerste Mangel betrifft die Bedeutung. Ein katastrophaler, aber seltener oder gut kontrollierter Fehler erhält eine bescheidene RPZ und landet unter häufigen Störungen. Ein fester Schwellenwert verschärft das Problem: Eine Regel "Massnahme bei RPZ über 100" verleitet das Team, knapp darunter zu bewerten, und sie lässt die erste Zeile der Tabelle durch. Ein Team, das die RPZ beibehält, legt auch eine Bedeutungsregel fest: Jede Zeile mit einer Bedeutung von 9 oder 10 erhält eine Massnahme, unabhängig von ihrem Rang.

Nach Aufgabenpriorität ordnen

Das AIAG-VDA-Handbuch ersetzt die RPZ durch eine Aufgabenpriorität (AP, action priority). Eine Tabelle des Handbuchs ordnet jeder Kombination von B, A und E eine hohe, mittlere oder niedrige Priorität zu. Die Tabelle stellt die Bedeutung vor das Auftreten und dieses vor die Entdeckung. Das Handbuch lässt zu, dass ein Unternehmen die Werte der Tabelle durch eigene ersetzt. Die Tabelle multipliziert nichts: Zwei Kombinationen von Bewertungen fallen nicht mehr zusammen, nur weil ihre Produkte übereinstimmen.

6. Die Massnahmen beschliessen

Das Formblatt hält für jede Massnahme fest, auf welchen Faktor sie zielt. Das Team versucht zuerst, die Folge zu beseitigen oder abzuschwächen, dann die Ursache zu verhindern, dann den Fehler zu entdecken: Eine Vermeidungsmassnahme verhindert den Fehler, eine Entdeckungsmassnahme fängt ihn ab.

Jede Massnahme erhält eine verantwortliche Person, einen Termin und einen Status. Ist die Massnahme umgesetzt, prüft das Team ihre Wirkung und bewertet die Zeile neu. Die neuen Bewertungen ergeben das Restrisiko. Eine Massnahme "Schulung des Personals", die keine Bewertung ändert, hat die Fehlerart nicht behandelt. Sie hat sie dokumentiert.

Manche Projektteams wenden eine Variante mit zwei Faktoren an, B × A, wenn keine Kontrolle zu bewerten ist. Diese Variante ist nicht die genormte Methode. Sie nimmt dem Team den Hebel der Entdeckung, obwohl eine zusätzliche Kontrolle wie ein Review oder eine Abstimmung manchmal die billigste Massnahme ist.

7. Dokumentieren und kommunizieren

Das Team legt das Formblatt, sortiert und kommentiert, jenen vor, die über die Inbetriebnahme oder das Budget entscheiden. Die Präsentation zeigt die Zeilen mit hoher Priorität, die eingeleiteten Massnahmen und das akzeptierte Restrisiko, mit dem Namen der Person, die es akzeptiert. Eine Prozessänderung, ein neuer Lieferant, eine zusätzliche Schnittstelle oder ein realer Vorfall öffnen das Formblatt wieder. Ein Vorfall liefert zudem einen Datenpunkt zum Auftreten und, falls er nicht im Formblatt stand, eine vergessene Fehlerart. Die Ursachenanalyse dieses Vorfalls liefert den Inhalt der fehlenden Zeile.

Eine FMEA, die nach der Inbetriebnahme für ein Audit geschrieben wird, entscheidet nichts mehr. Sie übernimmt die bestehenden Kontrollen und bewertet sie wohlwollend. Eine FMEA erfüllt ihren Zweck, solange eine Zeile des Formblatts das Design noch ändern kann.

KI-Überlegungen

Ein Sprachmodell beschleunigt die Prüfung Funktion für Funktion. Aus der Liste der Funktionen schlägt es für jede die Fehlerarten Ausbleiben, teilweise Ausführung, Verspätung oder Doppelung vor. Es schlägt auch eine erste Liste von Ursachen je Arbeitselement vor. Das Team beginnt mit einer Liste zum Sortieren statt mit einem leeren Blatt. Das Modell liest auch das Formblatt gegen: Es findet zwei Zeilen, die dieselbe Fehlerart mit verschiedenen Worten beschreiben, dieselbe Ursache, hier mit 3 und dort mit 7 bewertet, eine Massnahme ohne verantwortliche Person oder eine Zeile ohne Zielfaktor.

Bei Vorfalldaten gruppiert ein Werkzeug zur Textanalyse Tickets und Reklamationen nach Fehlerart. Es gibt der Bewertung des Auftretens eine Faktenbasis, wo das Team sonst nur seine Erinnerung hätte.

Die Bewertungen bleiben menschlich. Mit der Bedeutung legt sich die Organisation darauf fest, was sie gegenüber ihren Kunden und der Behörde für tragbar hält, und dieses Urteil hat eine namentlich verantwortliche Person. Ein Modell kennt weder die Kontrollen, die in der Organisation laufen, noch deren Versagensrate: Eine Entdeckungsbewertung aus seiner Hand misst Plausibilität. FMEA-Formblätter beschreiben zudem die Schwachstellen eines Systems. Ein öffentlicher KI-Dienst, der sie erhält, hält damit deren Liste in der Hand. Das gewählte Werkzeug bleibt unter der Kontrolle der Organisation.

Beispiele

Der analysierte Schritt gehört zum Lohnprozess eines KMU mit sechzig Mitarbeitenden.

Nach RPZ sortiert, behandelt das Formblatt den Geldabfluss zuletzt, weil seine Ursache selten ist. Die Bedeutungsregel des Teams stellt ihn an die Spitze. Das vollständige Formblatt enthält auch die Verantwortlichen und die Termine.

Visualisierungen

Ein ausgefülltes Formblatt zeigt sich als Tabelle. Die drei Bewertungen lassen sich Kriterium für Kriterium vergleichen, ebenfalls in einer Tabelle. Zwei Gedanken der Methode sind dagegen räumlich. Die Zerlegung ist ein Baum: der Prozess, seine Schritte, dann die Arbeitselemente jedes Schritts. Die Fehlerkette verbindet drei Ebenen dieses Baums durch zwei Pfeile, und die Lage jedes Glieds zeigt, ob es Ursache, Fehlerart oder Folge ist. Die sieben Schritte bilden eine Folge, in die der erste Fehler erst beim vierten eintritt.

Aufwand

Werkzeuge

Eine Tabellenkalkulation genügt für eine erste FMEA und für die meisten FMEA administrativer Prozesse. Die Spalten des Formblatts finden darin Platz, das Sortieren nach RPZ geht mit einem Klick und die Datei lässt sich teilen. Sie stösst an Grenzen, wenn die Zeilen in die Hunderte gehen oder mehrere Formblätter Elemente teilen: Die Fehlerkette erscheint darin nicht, und eine Änderung muss von Hand in jede Kopie übertragen werden.

Spezialisierte Software hält Zerlegung, Funktionen und Fehlerkette in einer einzigen Datenbank und erzeugt daraus das Formblatt. APIS IQ-RM, in der deutschsprachigen Industrie verbreitet, PLATO e1ns und Relyence sind Beispiele. Sie lohnt sich bei Zulieferern der Automobilindustrie oder der Medizintechnik, wo die Formblätter in die Dutzende gehen und der Kunde ihre Form auditiert.

Für die Zerlegung zeigt ein Whiteboard, physisch oder digital wie Miro, den Strukturbaum während der Sitzung. Das Team füllt das Formblatt anschliessend im gewählten Werkzeug aus.

Quellen

• International Electrotechnical Commission, IEC 60812:2018, Failure modes and effects analysis (FMEA and FMECA), 3. Ausgabe: die Definition der Methode, ihre Erweiterung um die Kritikalität und ihr Geltungsbereich, der Produkte, Prozesse, Software und Schnittstellen umfasst.
• AIAG und VDA, FMEA Handbook, 1. Auflage, 2019: die sieben Schritte, die Strukturanalyse, die Fehlerkette und die Aufgabenpriorität, die die RPZ ersetzt.
• Wheeler, Donald J., "Problems With Risk Priority Numbers", Quality Digest, 2011: die ordinale Natur der drei Bewertungen und die Mängel ihres Produkts, die daraus folgen.
• Kluse, Christopher, "A critical analysis of the AIAG-VDA FMEA; does the newly released AIAG-VDA method offer improvements over the former AIAG method?", Journal of Management & Engineering Integration, 13(1), 2020: die Reihenfolge Bedeutung, Auftreten, Entdeckung, der die Aufgabenpriorität und die Wahl der Massnahmen folgen.
• NASA, Procedure for Failure Mode, Effects, and Criticality Analysis (FMECA), RA-006-013-1A, 1966: das für das Apollo-Programm geschriebene Verfahren.