故障树手册（Fault Tree handbook)（3）

第四章 故障树的基本元素

4.1 故障树的模式

故障树分析可以简单的描述为一项分析技术，凭借一个特定系统的非期望状态（通常是一个安全方面的关键状态），该系统会根据环境和操作的上下文信息来找到非期望事件发生的所有可信途径。故障树本身是一种图形描述方式，这种图形方式描述了各类导致预定义的非期望事件发生的故障的并行和串行组合。（The fault tree itself is a graphic model of the various parallel and sequential combinations of faults that will result in the occurrence of the predefined undesired event.）这些故障可以是和部件硬件故障相关联的事件，人为的错误，或者任何其他可导致非期望事件的相关事件。因此故障树描述了基础事件的内部逻辑关系，这些基础事件导致了非期望事件，而这些非期望事件就是故障树的顶层事件。

很重要的一点是，故障树并不是一个系统所有故障或者导致系统失效的所有可能原因的模型。一个故障树由它的顶层事件所决定，这些顶层事件与一些系统的特定故障模式相对应。因此故障树仅包含导致顶层事件的那些故障。此外，这些故障并不是完备的——它们仅包含分析员评估的最可信的状态。

另一个需要指出的重点是故障树本身并不是一个量化的模型。它是一个定性的模型，但是大部分情况下可以被量化评估。当然这一特点几乎所有的定性模型都具备。故障树是一个特别方便进行量化的模型，这一事实并没有改变模型本身的定性性质。

故障树是一种被看作“门”的复杂实体，它们允许或禁止故障逻辑通过树。这些门表明了一个高级别事件发生所需要的事件间的关系。高等级事件是门的输出；而低等级事件是门的输入。门的符号表明了输出事件所需的输入事件的关系种类。因此，门有点类似于电路中的开关或在一个管道中的两个阀门。图IV-1是一个典型的故障树。

4.2 符号 —— 故障树的组成模块

一个典型的故障树由许多符号组成，这些符号在本章节中被详细的讲解，并总结在表IV-1中以便于读者查阅。

4.2.1 主要事件（PRIMARY EVENTS）

故障树的主要事件是由于这样或那样的原因没有被进一步开发的事件。如果计算顶层事件的概率，则需要提供这些主要事件的概率。主要事件主要分成四种，分别是：

4.2.1.1 基础事件(basic events)

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-C5Jc0sWu-1586457578196)(asserts/basicEvent.png)]

这个圆表示一个基本的初始故障事件，该事件不需要未来的开发。换句话说，这个圆表明已经到达的分辨极限。

Table IV-1 Fault Tree Symbols 主要事件标识（PRIMARY EVENT SYMBOLS）

标识	名称	含义
	基本事件	不被进一步开发的基础初始故障
	条件事件	应用在任何逻辑门上的特定的条件或限制（大部分应用于优先与门（PRIORITY AND）和禁止门（INHIBIT））
	非开发事件	一个不被后续开发的事件，因为信息不足或后果不可用
.	外部事件	一个通常情况下被认为会发生的事件

门标识（GATE SYMBOLS）

标识	名称	含义
	与	如果所有输入是“故障发生”则输出也是“故障发生”
	或	如果至少一个输入是“故障发生”则输出也为“故障发生”
	异或	如果输入中恰好一个故障发生，则输出故障发生
	优先与	如果所有输入故障以某种已定义的顺序发生则输出故障发生（序列由绘制在门右边的条件事件表示）
	禁止	如果（单一）输入故障出现在使能条件下，则输出故障（使能条件通过绘制在门右边的条件事件表示）

交换标识（TRANSFER SYMBOLS）

标识	名称	含义
	转入	指示在相应的转出发生时(例如，在另一个页面上)，树将进一步开发
	转出	指示在树的这部分必须链接对应的转入

4.2.2.2 未开发事件

该图形描述了未进一步开发的特定故障事件，原因可能是该事件的后果不足，也可能是与该事件相关的信息不可用。

4.2.2.3 条件事件

椭圆用来记录应用于任何逻辑门的任何条件或限制。它主要用于禁止和优先与门。

4.2.2.4 外部事件

房子用于表示一个事件，通常预期会发生。例如，一个动态系统的相位变化。因此，房子符号本身不表示错误。

4.2.3 中间事件

中间事件是由一个或多个前因通过逻辑门起作用而发生的故障事件。所有中间事件都用矩形表示。

4.2.4 门

门有两种形式：与门和或门。所有其他的门都是这两种形式的变种。有一个例外(禁止门），门用一个盾牌和一个平的或弯曲的底座。

4.2.4.1 或门

或门用于显示仅当一个或多个输入事件发生时才会发生输出事件。一个或门可以有任意数量的输入事件。图IV-2显示了一个典型的双输入或门，其中包含输入事件A和B，输出事件Q。当事件A发生，事件B发生，或A、B都发生时，事件Q就发生。

重要的是因果关系从来不会穿越或门。这句话的意思是，对于一个或门，输入故障绝对不会是输出故障的原因。或门的输入与输出相同，但是更为明确的定义是导致的原因。图IV-3能更好的帮助理解这一观点。

图IV-3的子事件可以在后续进行开发，例如图IV-4所示：

但是，如下事件

是第一个或门的输出事件（下图）的对于一个特殊原因的再次声明。

检测绘制错误的故障树的一种方法是寻找因果关系通过或门的情况。这是一个缺失与门的迹象(参见下面的定义)，也是在进行分析时使用不适当逻辑的迹象

与门

与门被用于表示只有所有输入故障发生，输出故障才发生。一个与门可以有任意数量的输入。图IV-5描绘了一个典型的A，B两个输入事件，Q输出事件的两输入与门。事件Q仅在A、B两事件都发生的情况下发生。

对比或门，与门指定了输入与输出的因果关系，例如，输入故障共同表明了输出故障的原因。与门对于输入故障的前因没有任何作用。图IV-6显示了一个与门的示例。柴油发电机和电池的故障将导致所有现场直流电源的故障。

在描述与门的事件输入时，如果依赖关系影响系统逻辑，则必须将任何依赖关系合并到事件定义中。依赖项通常在故障“更改”系统时存在。例如，当第一次故障发生时(例如，图IV-5中的输入A)，系统可能会自动切换到备用单元。第二次故障，图IV-5的输入B，和假设已经就位的备用单元一起分析。在这种情况下，输入B（图IV-5）将被更精确的定义为“输入B导致A的发生”。

图IV-7中所示的与门的变体显式地显示了依赖关系，当其中一个故障的发生改变了系统