Fehlerbaumanalyse

Fehlerbaumanalyse Definition

Verfahren

Um ein (technisches) System auf der Basis seiner Komponenten in ein möglichst wirklichkeitsnahes Modell zu übersetzen und auszuwerten, soll der Fehlerbaum vom Top-Ereignis – über allgemeine System-Ausfallzustände – schrittweise bis in die Tiefe der Komponenten des Systems entwickelt werden, indem auf jeder System-Ebene die unmittelbaren Ausfall-Ursachen ermittelt und dargestellt werden (vgl. und Kap. 3.2.4). Nach DIN 25424 sind dementsprechend die folgenden Analyseschritte durchzuführen:

• Detaillierte Untersuchung des Systems mit Hilfe einer Systemanalyse.
• Festlegung des „unerwünschten Ereignisses“ (Top-Ereignis) und der Ausfallkriterien.
• Festlegung der relevanten (zu untersuchenden) System-Zuverlässigkeitsgröße und der zu betrachtenden Zeitintervalle (Missionszeiten).
• Erstellung des Fehlerbaums vom Top-Ereignis bis zu den Ausfallzuständen der Komponenten des Systems, die mit probabilistischen Größen beschrieben werden können. Sie bilden damit die Endzustände des Fehlerbaums (Top-down Analyse).
• Bestimmung und Zusammenstellung der probabilistischen Größen der Komponenten des Systems (Ausfallraten, Nichtverfügbarkeiten) und deren Prüf- und Instandsetzungszeiten.
• Auswertung / Berechnung des Fehlerbaums.
• Bewertung der Ergebnisse.

Die Ausfallkombinationen im Fehlerbaum-Modell werden anhand der Booleschen Algebra (Symbole, insbesondere UND, ODER) logisch verknüpft.

Der Ausfall einer Systemkomponente (wie Strom-Schalter, Notstromdiesel, Kühlwasserpumpe, Absperrschieber, Brandmelder) wird im Fehlerbaum üblicherweise in drei Fehlerarten unterschieden, die über ein Oder-Gatter verknüpft werden (Komponenten-Modell) (vgl. DIN 25424, Kap. 3.2.5):

• Primärausfall: Ausfall der Komponente selbst durch technisches Versagen bei sonst zulässigen Einsatzbedingungen. (An dieser Stelle endet der Fehlerbaum mit der Angabe der Ausfallrate, dem Prüfintervall und Reparaturzeit der Komponente.)
• Sekundärausfall: Ausfall durch unzulässige Einsatz- und/oder Umgebungsbedingungen der Komponente, wie Ausfall des Kühlmediums (Kühlwasser, Luft), Unzulässige Umgebungstemperatur, Überflutung der Komponente.
• Kommandierter Ausfall: Ausfall bei funktionsfähiger Komponente durch nicht erfüllte Schnittstellen (Medien, Signale, Energie), z.B. infolge einer falschen bzw. fehlenden Anregung, des Ausfalls einer Hilfsquelle oder Ausfall der Energieversorgung, Signalausfall, Fehlsignal.

Sekundär- und kommandierte Ausfälle werden im Fehlerbaum wiederum bis auf mit Ausfalldaten bewertbare Komponenten weiterentwickelt.

Redundante Komponenten, wie z. B. zwei Kühlwasserpumpen oder zwei Brandmelder, werden über UND-Gatter im Fehlerbaum verknüpft. Dabei ist immer die Möglichkeit redundanzübergreifender Fehler, wie einer gemeinsamen Energie- oder Versorgungsquelle, für beide Komponenten gleichzeitig auftretende unzulässige Umgebungsbedingungen oder einer fehlerhaften Wartungsanweisung, zu berücksichtigen und im Fehlerbaum durch entsprechende Verknüpfungen darzustellen bzw. mittels einer probabilistischen Größe, dem sogen. „Gemeinsam verursachten Fehler“ (GVA), engl. „Common Cause Failure“ (CCF) zu bewerten (vgl. Kap. 3.3).

Das Fehlerbaum-Modell wird üblicherweise mit Hilfe eines Computerprogramms (Grafikeditor) erstellt und berechnet. Das quantitative Ergebnis der Analyse besteht aus

• der Wahrscheinlichkeit (auch Rate / Häufigkeit pro Zeit) des unerwünschten Ereignisses (Top-Ereignis) und
• den sogenannten Minimalschnitten mit den zugehörigen Wahrscheinlichkeiten.

Ein Minimalschnitt (Minimal cut set) besteht aus der Menge von Elementarereignissen (Komponentenausfälle / Endzustände des Fehlerbaums), die zeitgleich vorliegend zum Eintritt des unerwünschten Ereignisses führen. Die Summe der Wahrscheinlichkeiten der Minimalschnitte eines Fehlerbaums ergibt die Wahrscheinlichkeit des Top-Ereignisses. Anhand der Minimalschnitte sind die Wertigkeiten der Komponenten, die zum Gesamtergebnis beitragen, erkennbar und weisen auf mögliche Systemschwachstellen und Verbesserungsmöglichkeiten hin.

Die Analyse wird üblicherweise aus Fehlersicht erstellt („Fehler-Modell“, bewertet mit den Fehlerraten der Komponenten). Deren Umkehrung aus Fehlerfreier Sicht („Intakt-Modell“, bewertet mit den Zuverlässigkeitsdaten der Komponenten), ist im Grundsatz möglich, hat sich in der Praxis jedoch nicht durchgesetzt. So wird in den Normen und Probabilistischen Sicherheitsanalysen lediglich das Fehler-Modell beschrieben bzw. angewendet.

Anwendung

• In der Planung von Industrieanlagen, vor allem in der Verfahrenstechnik, und im vorbeugenden Brandschutz.
• In der Software-Entwicklung wird sie verwendet, um die Fehler von Programmen zu analysieren.
• In der Flugsicherheit werden zur Bestimmung der definierten Sicherheit Fehlerbaumanalysen mittels Checklisten ausgeführt.
• In der Produktentwicklung bei allen modernen sicherheitskritischen Systemen wie Automobilindustrie, Bahntechnik, etc.
• In der Probabilistischen Sicherheitsanalyse, die im Rahmen der periodischen Sicherheitsüberprüfung für kerntechnische Anlagen durchgeführt wird. In der Kombination von Ereignis- und Fehlerbäumen werden die Nichtverfügbarkeiten (Ausfallwahrscheinlichkeit im Anforderungsfall) der sicherheitstechnischen Systeme ermittelt.

Rechenprogramme

Zur Auswertung der Fehlerbäume, die im Rahmen einer probabilistischen Sicherheitsanalyse erstellt werden, haben sich (nach ) weltweit Rechenprogramme etabliert. In einem ersten Schritt werden die Minimalschnitte (d.h. die minimalen Kombinationen von ausgefallenen Komponenten, die gerade zum Ausfall der untersuchten Systemfunktion führen) ermittelt und auf der Basis dieser Minimalschnitte wird die Ausfallwahrscheinlichkeit bzw. die Nichtverfügbarkeit der Systemfunktion berechnet. Die Rechenprogramme müssen bestimmte Basisanforderungen erfüllen.

Einzelnachweise

1. ↑ ^{a b} „Fault Tree Handbook„, siehe Literatur
2. ↑ ^{a b c d e f} Methoden zur probabilistischen Sicherheitsanalyse für Kernkraftwerke, siehe Literatur
3. ↑ Thums, Formale Fehlerbaumanalyse, siehe Literatur
4. ↑ software-kompetenz.de – Fehlerbaumanalyse

Alle Quellenangaben finden Sie unter: http://de.wikipedia.org/wiki/Fehlerbaumanalyse