故障树分析基本知识

本文面向可靠性、安全性和智能工程系统建设，重点从概念、工业应用和后续系统实现三个角度理解故障树分析 Fault Tree Analysis, FTA。

基本概念

故障树分析是一种自上而下的因果逻辑分析方法。它从一个不希望发生的顶事件出发，逐层追问“什么原因或原因组合会导致该事件发生”，并用逻辑门把顶事件、中间事件和基本事件连接成一棵树状模型。

FTA 的核心价值不只是画出一张图，而是把复杂系统中的失效因果关系转化为可讨论、可审查、可计算、可改进的结构。它特别适合回答以下问题：

• 某个严重故障或事故可能由哪些路径导致。
• 系统中是否存在单点故障或薄弱环节。
• 冗余、保护、诊断、降级和维修策略是否真正有效。
• 哪些基本事件或事件组合对顶事件贡献最大。
• 如果要降低风险，应优先改进哪些部件、功能、流程或控制措施。

故障树的基本元素

顶事件

顶事件是分析所关注的不希望发生的事件，例如“车辆行驶中低压供电丧失”“高压系统失去过压保护功能”“关键控制器无法输出有效控制指令”。

一个好的顶事件应具备三个特征：

• 具体：有明确对象、工况和边界。
• 可判定：能够判断事件是否发生。
• 与目标相关：直接服务于安全分析、可靠性分析、问题复盘或设计改进。

不宜把顶事件写成“系统不可靠”“安全风险高”“控制异常”这类过宽或不可判定的描述。

中间事件

中间事件是由下级事件通过逻辑门组合而成的事件。它承担故障树的层级组织作用，使复杂顶事件能够逐层分解。

中间事件不能只是抽象类别，例如“软件问题”“硬件问题”“设计缺陷”。更好的表达方式是“控制器未接收到有效传感器信号”“执行机构输出力矩不足”“诊断逻辑未识别过压状态”。

基本事件

基本事件是故障树中不再继续分解的底层事件。一个事件是否作为基本事件，取决于分析目的、系统边界、数据可得性和工程可控性。

常见基本事件包括：

• 元器件失效，例如继电器触点粘连、传感器输出固定高值。
• 软件或逻辑失效，例如阈值配置错误、状态机跳转条件缺失。
• 人因或维护事件，例如校准参数录入错误、维修后连接器未锁止。
• 环境或外部事件，例如过温、振动冲击、电磁干扰。
• 边界外事件或暂不展开事件，例如供应商内部模块失效。

逻辑门

逻辑门描述下级事件与上级事件之间的因果组合关系。

逻辑门	含义	工程含义
或门	任一输入事件发生即可导致输出事件	多种独立原因均可导致同一故障
与门	所有输入事件同时发生才导致输出事件	冗余失效、防护失效与危险条件共同出现
优先与门	输入事件按特定顺序发生才导致输出事件	与时间顺序、状态迁移或触发窗口相关
禁止门	输入事件在限定条件存在时导致输出事件	某故障只有在特定工况下才造成后果

在工程分析中，逻辑门不能只是“画法选择”，而是对因果充分性的承诺。或门表示任一输入都足以导致输出；与门表示输入必须共同发生才足以导致输出。

故障树分析的基本流程

明确分析目的和边界

FTA 开始前，需要明确分析是用于设计改进、可靠性预计、安全论证、现场问题复盘，还是用于培训和知识沉淀。目的不同，故障树的粒度和交付物也不同。

通常需要提前定义：

• 系统边界：哪些部件、软件、人员、外部系统在范围内。
• 工况边界：启动、运行、停机、维修、运输或储存等状态。
• 时间边界：任务时间、暴露时间、诊断时间、维修恢复时间。
• 失效准则：什么状态算顶事件发生。
• 数据来源：试验数据、现场数据、供应商数据、专家判断或历史库。

定义顶事件

顶事件决定故障树的分析方向。定义顶事件时，应避免同时写入原因假设。例如“传感器故障导致制动失效”已经把原因提前限定为传感器故障，不利于全面展开；更合适的顶事件是“车辆行驶中制动功能无法满足减速度要求”。

建立第一层原因

第一层原因是故障树的骨架，常见分解方式包括：

• 按功能分解：供电、控制、通信、检测、执行、冷却。
• 按物理组成分解：传感器、控制器、线束、执行机构、软件。
• 按失效机理分解：断路、短路、卡滞、漂移、误触发、漏检。
• 按屏障分解：预防屏障失效、检测屏障失效、缓解屏障失效。

第一层不应只是头脑风暴式原因列表，而应尽量满足结构清晰、逻辑完整和层级一致。

逐层展开和规范化

对每一个中间事件，都需要继续追问：

• 它发生的直接原因有哪些。
• 这些原因是任一即可，还是必须共同发生。
• 是否存在顺序、条件、共因、依赖或维修恢复关系。

建树过程中还要注意事件命名一致性。推荐采用“对象 + 失效模式 + 条件或状态”的形式，例如“电流传感器输出固定低值”“DC/DC 在运行中无输出”“主控软件未进入降级模式”。

分析和应用结果

故障树建好后，通常进入定性分析和定量分析。定性分析回答“哪些事件组合会导致顶事件”；定量分析回答“顶事件发生概率或频率是多少，哪些基本事件贡献最大”。

分析结果应回到工程决策中，用于：

• 识别单点故障和关键割集。
• 验证冗余设计是否有效。
• 制定检测、诊断和维修策略。
• 指导试验覆盖和验证重点。
• 支持设计变更、风险闭环和安全论证。

工业应用视角

设计阶段的风险识别

在概念设计和架构设计阶段，FTA 可用于识别系统级顶事件及其主要原因路径。相比单纯的部件清单分析，FTA 更强调“多个事件如何组合成严重后果”，因此适合发现冗余不足、保护链断裂和关键共因。

例如在汽车电子系统中，如果关键负载由 DC/DC 和备用电源共同保障，那么“DC/DC 失效”并不必然导致“关键负载断电”。只有当“DC/DC 失效”和“备用供电不可用”共同发生时，顶事件才成立。这类逻辑关系正是 FTA 擅长表达的内容。

详细设计阶段的验证

进入详细设计后，FTA 可以用来检查诊断覆盖率、降级策略、报警策略和容错机制是否与系统安全目标一致。

典型问题包括：

• 单个传感器漂移是否会直接造成危险输出。
• 软件诊断是否能够识别关键输入异常。
• 冗余通道是否存在共电源、共软件、共通信链路或共维护流程。
• 保护动作是否依赖某个可能同时失效的条件。
• 进入降级模式后，系统是否仍满足最小安全功能。

试验和现场故障复盘

在试验或现场问题复盘中，FTA 可以把零散现象组织成结构化原因模型，避免只停留在单一根因叙事。

工业现场的复杂故障往往不是单个部件失效，而是设备状态、软件逻辑、人员操作、环境条件和维护过程共同作用的结果。FTA 能够表达多因素组合，也能把“防护为什么没有阻止故障扩展”纳入分析。

安全论证和可靠性管理

在功能安全、装备可靠性、安全生产和过程工业风险管理中，FTA 常与 FMEA、ETA、HAZOP、可靠性框图等方法配合使用。

方法	视角	与 FTA 的关系
FMEA	从部件或功能失效向上分析影响	为 FTA 提供底层失效模式
ETA	从始发事件向后推演后果路径	FTA 可分析事件树中关键屏障失效的原因
HAZOP	从工艺偏差识别危险场景	关键偏差或事故后果可作为 FTA 顶事件
可靠性框图	从成功路径描述系统可靠性	可与 FTA 从失败路径互相校核

常见误区

把原因列表当作故障树

故障树不是原因清单。每个输入事件与输出事件之间都必须有明确的充分关系。如果只是把所有可能原因都接到一个或门下面，模型就很难用于审查和计算。

忽略共因失效

冗余系统最容易被高估。两个通道看似独立，但可能共享电源、软件版本、通信总线、标定参数、供应商设计、维护流程或运行环境。若不识别共因，定量结果会明显偏乐观。

顶事件过宽

顶事件过宽会导致故障树无限扩展，最终变成难以维护的“大而全”图纸。应通过对象、工况、失效准则和时间边界收敛顶事件。

数据和假设不可追溯

定量分析依赖数据质量。每个基本事件的概率、失效率、不可用度或频率都应记录来源、单位、适用条件和置信程度。否则计算结果虽然有数字形式，但工程可信度不足。

面向系统实现的后续研究方向

如果将 FTA 从人工文档方法进一步发展为工程软件或智能体系统，需要重点研究定性分析和定量分析两个方向。

定性分析方向

定性分析的目标是从故障树结构中识别导致顶事件的关键事件组合，核心输出通常是割集和最小割集。

后续系统实现可重点研究：

• 故障树结构建模：设计统一的数据结构表达顶事件、中间事件、基本事件、逻辑门、转移符号和条件事件。
• 事件唯一性管理：建立事件编号、事件名称、失效模式、对象、工况和数据来源的统一字典，避免同一事件重复建模。
• 最小割集求解：实现基于布尔代数、二元决策图 BDD 或其他符号计算方法的最小割集搜索。
• 结构重要度分析：在没有可靠概率数据时，根据故障树结构识别一阶割集、高频出现事件和关键薄弱点。
• 模型规范性检查：自动识别顶事件过宽、逻辑门输入不足、重复事件、未展开事件缺少说明、事件命名不一致等问题。
• 与 FMEA/需求/架构模型联动：从 FMEA 失效模式、系统功能架构或需求文档中半自动生成候选基本事件和中间事件。

定性分析系统要优先解决“模型是否逻辑成立”的问题。只有结构可信，后续定量计算才有意义。

定量分析方向

定量分析的目标是计算顶事件发生概率、频率或不可用度，并识别对顶事件贡献最大的基本事件。

后续系统实现可重点研究：

• 可靠性数据管理：建设基本事件数据表，支持失效率、失效概率、不可用度、维修率、诊断覆盖率、任务时间等参数。
• 逻辑门概率计算：实现或门、与门、条件门、顺序门等输出概率计算，并明确适用假设。
• 独立性与共因建模：支持共因失效、相关失效、共享资源失效和环境条件相关性，避免简单独立假设造成误判。
• 重要度分析：计算 Fussell-Vesely 重要度、Birnbaum 重要度、风险降低价值等指标，用于改进优先级排序。
• 敏感性分析：分析基本事件概率变化对顶事件结果的影响，帮助识别数据不确定性对结论的影响。
• 不确定性表达：支持区间数据、专家置信度、分布假设和蒙特卡洛仿真，避免把单点数值误解为绝对真值。
• 结果可解释输出：将计算结果反向映射到故障树路径、关键基本事件和工程改进建议，服务审查和决策。

定量分析系统的关键不是“算出一个数字”，而是保证数字背后的数据、假设、逻辑和适用范围可追溯。

智能化故障树系统的建设设想

面向 AI 与智能体应用，可以把 FTA 系统划分为以下能力模块：

模块	作用	关键能力
知识输入层	接收标准、FMEA、需求、架构、试验和现场数据	文档解析、术语抽取、事件候选生成
建模层	构建和维护故障树模型	事件字典、逻辑门建模、版本管理
定性分析层	分析故障路径和关键组合	最小割集、结构重要度、规则检查
定量分析层	计算概率、频率和重要度	数据管理、概率计算、敏感性分析
解释与决策层	输出工程可用结论	关键路径解释、改进建议、报告生成
闭环管理层	跟踪改进和模型更新	措施闭环、设计变更联动、审查记录

智能体可以在其中承担辅助角色，例如：

• 根据系统描述生成初始顶事件和第一层原因建议。
• 检查事件命名是否可判定、是否包含原因假设。
• 从 FMEA 表中抽取基本事件候选。
• 对故障树进行一致性和完整性检查。
• 解释最小割集和重要度结果。
• 根据关键路径生成设计改进建议和验证建议。

但智能体不应直接替代工程判断。FTA 涉及系统边界、失效准则、数据质量和安全责任，最终仍需要领域专家审核。

小结

故障树分析是一种连接系统设计、风险识别、可靠性计算和工程决策的方法。它通过自上而下的逻辑分解，把复杂顶事件拆解为可理解、可审查、可量化的原因路径。

从工业应用看，FTA 可用于设计阶段风险识别、详细设计验证、现场问题复盘、安全论证和可靠性管理。从系统实现看，后续重点应围绕定性分析和定量分析展开：前者解决故障路径、最小割集和结构薄弱点识别，后者解决概率计算、重要度排序和不确定性表达。

只有当故障树结构可信、数据可追溯、假设清晰时，FTA 才能真正从“画图工具”变成支撑工程决策的分析系统。