Content

以可靠性为中心的维修（RCM）把设备功能分为显性与隐性：隐性功能的失效在日常运行中察觉不到，例如灭火系统，只有被用到的那一刻才知道它是否可用^[1]。这类功能不能等被用到，要单独安排定期的「找故障检查」（failure-finding task）主动检验^[1][2]。软件里的护栏——成本上限、权限边界——就是隐性功能，零事故恰恰可能说明它在起作用。

Acceptance

“Failure-finding tasks detect hidden functions that have failed without giving evidence of failure and are normally time directed.”^[1]

术语由 SAE JA1011（1999）/ JA1012（2002）标准确立^[5]；原始出处是 Nowlan 与 Heap 1978 年为美国国防部撰写的报告^[3]。按 JA1011 措辞的术语表定义：“Scheduled inspections of a hidden-function item to find functional failures that have already occurred.”^[4]

Question

• 零事故是「护栏在起作用」还是「根本没被检验过」，怎么区分？
• 找故障检查的间隔应该按什么定？
• 单元测试算不算对隐性功能的找故障检查？

See Also

危害控制层级

Answer

零事故是「护栏在起作用」还是「根本没被检验过」，怎么区分？

区分不了——这正是隐性功能的定义性困境：失效不可见，零信号既可能是防护有效，也可能是防护早已失效。RCM 的答案是不靠信号靠机制：到期拿原事故场景主动运行一次找故障检查，把「是否可用」变成可观测的^[1]。

找故障检查的间隔应该按什么定？

按可容忍的多重失效概率反推：隐性功能失效与被保护功能失效同时发生的概率要压到可接受水平以下，SAE JA1012 给出了以多重失效概率定间隔的判据^[2]。失效越隐蔽、后果越重，检查越频繁。

单元测试算不算对隐性功能的找故障检查？

算，而且是最便宜的一种——单元测试就是「定期主动运行、确认功能仍可用」的机械版。区别在于找故障检查面向平时不被触发的功能；护栏类代码如果只写不测，就退回了「等被用到」的被动姿态。

1. NASA《Reliability-Centered Maintenance Guide for Facilities and Collateral Equipment》（2008 年 9 月）§3.3.1.1，PDF 镜像。 ↩ ↩² ↩³ ↩⁴
2. 找故障检查的判据见 SAE JA1012。 ↩ ↩²
3. F. Stanley Nowlan、Howard F. Heap《Reliability-Centered Maintenance》，报告号 AD-A066579，1978 年 12 月，everyspec。 ↩
4. Accend Reliability Glossary，Failure-Finding Task，2026 年 9 月 24 日访问。 ↩
5. SAE JA1011《Evaluation Criteria for Reliability-Centered Maintenance Processes》，1999；SAE JA1012《A Guide to the Reliability-Centered Maintenance (RCM) Standard》，2002。（标准为付费文献，仅列题名。） ↩