Folie 1: Fehlerbaumanalyse (FTA) Kurzbeschreibung und Ziel Die Fehlerbaumanalyse im Englischen als Fault Tree Analysis bezeichnet und mit FTA

Transkript

1 Folie 1: Fehlerbaumanalyse (FTA) Kurzbeschreibung und Ziel Die Fehlerbaumanalyse im Englischen als Fault Tree Analysis bezeichnet und mit FTA abgekürzt dient der systematischen Untersuchung von Komponenten und Teilen eines Systems auf deren Beteiligung an einen möglichen Ausfall des Gesamtsystems. Das Ziel der Fehlerbaumanalyse ist es, mittels eines deduktiven Top down Ansatzes die möglichen Ursachen für ein Systemversagen zu identifizieren. Deduktiv bedeutet in diesem Zusammenhang, dass man vom Allgemeinen zum Speziellen vorgeht. Durch das Top down Vorgehen entsteht eine baumartige Struktur. Auf der Folie sehen Sie auf der rechten Seite das Beispiel eines kleinen Fehlerbaums. Zum Einstieg interpretiere ich ihn direkt: Es gibt ein TOP Event, das mit dem Fehlerbaum analysiert werden soll. In vorliegendem Beispiel sind zwei untergeordnete Ereignisse mögliche Auslöser für das Eintreten des TOP Events. Man sieht, dass beide durch ein ODER Gatter zum TOP Event führen. Für uns heißt das: Tritt Ereignis A ein oder tritt Ereignis B ein oder treten beide ein, so führt dies zum unerwünschten TOP Event, z. B. zum Ausfall des Systems. Für komplexe Systeme mit vielen Komponenten und Bauteilen entstehen große Fehlerbäume, die über mehrere Ebenen reichen. Eingesetzt werden Fehlerbäume zum Beispiel in folgenden Fällen: Es sollen die Situationen beschrieben werden, die zu einem unerwünschten Systemausfall (sog. TOP Ereignis) führen; es sollen die kausalen Zusammenhänge eines Systems aufgedeckt werden, man möchte eine qualitative und quantitative Risikoanalyse des Systems vornehmen. 1

2 Folie 2: Verwendete Symbole Auf der Folie sehen Sie die gebräuchlichen Symbole der Fehlerbaumanalyse. Das wichtigste Symbol, weil zugleich Ausgangspunkt der Analyse, ist das TOP Event: ein Rechteck. Allgemein werden Fault Events mit dem Rechteck dargestellt. Das sind das TOP Event, aber auch sog. Intermediate Events, die sich innerhalb des Baumes zeigen. Das TOP Event zum Beispiel das Einfrieren von Heizungsrohren im Winter wird von anderen Events ausgelöst. Dazu unterscheidet man Basic Events und Undeveloped Events. Ein Basic Event ist ein Ereignis, das nicht weiter untergliedert werden kann. Es wird durch einen Kreis dargestellt. Der Ausfall einer Umwälzpumpe kann im Winter ein Basic Event sein, das zum Einfrieren von Heizungsrohren führt. Das Undeveloped Event könnte dagegen noch weiter untergliedert werden. Man macht dies aber in der vorliegenden Analyse nicht sei es aus Gründen der Wirtschaftlichkeit oder weil man sich keinen weiteren Erkenntnisgewinn erwartet. Undeveloped Events werden mit einer Raute gekennzeichnet. House Events sind Ereignisse, die als Rahmenbedingungen Teile des Fehlerbaums maßgeblich beeinflussen. Sie stellen damit keinen Fehler dar, sondern eine Variable, die in die Logik des Baumes integriert wird. Ein Fehlerbaum, der z. B. das Einfrieren von Heizungsrohren im Winter untersucht, könnte als House Event Frost einbeziehen Kennzeichen der Fehlerbaumanalyse ist es, dass die Logik eines Systems nachgebildet wird. Dazu stehen logische Verbinder zu Verfügung. Die beiden meistgenutzten sind das AND sowie das OR Gatter. Beide gehorchen der booleschen Logik. Das heißt: Sind zwei Basic Ereignisse über ein AND Gatter mit einem darüber liegenden Fault Event verbunden, müssen beide Basic Ereignisse wahr sein, nur dann tritt das Fault Event auf höherer Ebene ein. Das Transfer Symbol wird genutzt, um große Fehlerbäume auf verschiedene Papierblätter zeichnen oder drucken zu können. Es stellt die Verbindung her und wird genutzt, um den Baum zu untergliedern. 2

3 Folie 3: Fehlerbaumanalyse: Schritte zur Durchführung der FTA In fünf Schritten wird der Fehlerbaum erstellt und seine Analyse durchgeführt: Schritt 1: Man bestimmt, zu welchem Ausfall man den Fehlerbaum erstellt. Die FTA kann sich daher nur mit bekannten Fehlern befassen, dies ist auch einer ihrer hauptsächlichen Nachteile. Schritt 2: Deduktiv geht man Top down vom obersten Event vor und ermittelt Ausfallgründe und deren logische Verbindung. Dieser Schritt erfordert eine intensive Beschäftigung mit dem System und seinen Wirkungszusammenhängen. Schritt 3: Qualitative Analyse. Unabhängig von konkreten Eintrittswahrscheinlichkeiten betrachtet man nur die logischen Wirkketten im System: Was passiert, wenn eine Komponente ausfällt? Von besonderem Interesse sind folgende Beziehungen: Single Point Failure: eine besonders kritische Komponente. Fällt sie aus, tritt das TOP Event also zum Beispiel ein Systemausfall ein. Cut Sets: Kombinationen von Komponenten, deren gemeinsamer Ausfall zum Systemausfall führt. Minimal Cut Sets: Das sind Cut Sets, die aus möglichst wenigen Komponenten bestehen. Im Minimal Cut Set sind alle Komponenten kritisch. Fällt eine aus, fällt das Gesamtsystem aus. Schritt 4: Quantitative Analyse: Hier ordnet man den Basic und Undeveloped Events Wahrscheinlichkeiten für ihren Eintritt zu. Kennt man diese, kann man die Wahrscheinlichkeiten bis zum TOP Event durchrechnen und weiß somit, mit welcher Gesamtwahrscheinlichkeit das System ausfällt bzw. allgemein das TOP Event eintritt. Schritt 5: Abschlussbericht erstellen. Hierzu werden die qualitative und quantitative Analyse zusammengefasst. 3

4 Folie 4: Qualitative Fehlerbaumanalyse: Ein allgemeines Beispiel Auf dieser Folie sieht man einen Fehlerbaum. Die Darstellung ist bewusst allgemein gehalten. Es geht hier um das Verständnis der qualitativen Aussagelogik der FTA. Frage an die Teilnehmer: Das Basic Event A tritt ein. Dies kann zum Beispiel der Ausfall des Bauteils sein. Was passiert, wenn A ausfällt? Die Konsequenzen stehen auf der Folie links: A ist durch eine logische OR Verknüpfung mit B verbunden. Das kann man so interpretieren: Ist A wahr oder ist B wahr oder sind beide wahr, tritt Ereignis 1 ein. Dies bedeutet: Fällt A aus (d. h.; es wird wahr), tritt in jedem Fall zunächst Ereignis 1 ein. Was B macht, interessiert dazu nicht mehr. Ereignis 1 ist ein sog. Intermediate Event. Es liegt im Inneren des Baumes. Ereignis 1 ist durch eine OR Verknüpfung mit einem Ereignis 2 verbunden. Ist eines von beiden wahr oder sind es beide zugleich, tritt das TOP Event ein. Damit ist A ein Single Point Failure. Das Ereignis A reicht aus, um das TOP Event eintreten zu lassen. Wäre A ein Ausfall, fiele damit das Gesamtsystem auch aus. A ist damit zugleich ein Minimal Cut Set. Dies unterstreicht seine Wichtigkeit für das System. Verständnisfrage an die Teilnehmer: Was passiert, wenn D eintritt? (Lösung: Ereignis 3 tritt ein; Ereignis 2 aber nur, wenn auch (UND) E eintritt. Da wir davon nichts wissen, tritt das TOP Ereignis nicht ein.) 4

5 Folie 5 : Fehlerbaumanalyse Vor und Nachteile Die Vorteile der Fault Tree Analysis sind: Intensive Betrachtung: Durch die Arbeit am Fehlerbaum untersuchen die beteiligten Mitarbeiter das System intensiv und verstehen es in seinem Zusammenwirken. Dies ist hilfreich für jegliche weitere Arbeit am System. System wird logisch aufbereitet: Aussagen über das Systemverhalten werden nachvollziehbar. Ausfallwahrscheinlichkeiten berechenbar: Kennt man die Eintrittswahrscheinlichkeiten oder Ausfallraten der Basic Events, kann man diese Ast für Ast und Ebene für Ebene bis hin zum TOP Event durchrechnen. So lässt sich eine Gesamtausfallwahrscheinlichkeit bestimmen. Single Point Failures werden identifiziert: Dies sind einzelne Komponenten, deren Ausfall sofort das Gesamtsystem lahmlegt. Sie werden durch die FTA bekannt. Das Wissen um sie ist wertvoll, weil es ein direkter Ansatzpunkt für die Integration von Fallback Lösungen darstellt. Nachteile: Nur bekannte Ereignisse untersuchbar: Das TOP Event muss bekannt sein, sonst kann man die FTA nicht starten. Damit sind aber Fehler, die jetzt noch unbekannt oder undenkbar sind, von der Betrachtung ausgeschlossen. Ein Beispiel: In Fukushima rechnete man nicht damit, dass ein Tsunami die Kühlung derart stark schädigen kann. Systemlogik muss bekannt sein: Für die FTA muss bekannt sein, wie die Komponenten im System zusammenarbeiten. Nur dann können die korrekten Logik Gatter genutzt werden. Die Analyse einer Blackbox ist daher nicht möglich. Je TOP Event eine FTA: Je TOP Ereignis muss ein eigener Fehlerbaum entworfen und ausgewertet werden. Dies ist sehr ressourcenintensiv. Nur statische Betrachtung: Eine dynamische Sicht wie Zunächst fällt A aus, später erst B: Wie ist die Wirkung auf C? kann in der Grundform der FTA nicht realisiert werden. Es gibt inzwischen Forschungsarbeiten, die sich mit der Erweiterung um dynamische Zeitkonzepte befassen. 5