Einführung in die qualitative Fehlerbaumanalyse anhand des Beispiels einer Präsentation

Transkript

1 Einführung in die qualitative Fehlerbaumanalyse anhand des Beispiels einer Präsentation Seminar Das virtuelle Labor Wintersemester 2008/2009 Sandra Mierz

2 Inhaltsverzeichnis Abstract 1 1 Einleitung 1 2 Grundlagen der qualitativen Fehlerbaumanalyse 2.1 Systemanalyse 2.2 Fehlerbaumkonstruktion Elemente des Fehlerbaums 2.3 Fehlerbaumauswertung Anwendungsbeispiel Halten einer Präsentation 4 4 Zusammenfassung und Bewertung 6 5 Quellenverzeichnis 8

3 Abstract In dieser Arbeit wird dargelegt, wie die qualitative Fehlerbaumanalyse funktioniert. Dazu wird erklärt aus welchen Elementen sie besteht und wie diese einzusetzen sind, um im Rahmen einer Auswertung Schwachstellen in einem System durch Analyse und Verwendung boolescher Algebra aufzudecken. Dies wird anhand eines Beispiels aus dem Studentenleben, dem Halten einer Präsentation, gezeigt. Zudem werden hierfür Lösungsansätze genannt. Abschließend werden die Vor- und Nachteile der qualitativen Fehlerbaumanalyse aufgezählt. 1 Einleitung Die Fehlerbaumanalyse wurde 1961 von H.A. Watson im Rahmen der Vorbereitungen für die Minuteman Raketen der U.S. Airforce entwickelt. Man wollte damals sicherstellen, dass die atomaren Sprengköpfe, die sich in diesen Raketen befinden, nicht einfach spontan explodieren. Es blieb jedoch nicht nur bei Anwendungen im militärischen Gebiet, das Verfahren wurde im Laufe der Jahre in immer mehr Gebieten eingesetzt, sodass es heute in vielen Feldern zum Einsatz kommt. Beispiele dafür lassen sich finden in der zivilen Luftfahrt und in Kernkraftwerken, um die Sicherheit gemäß gesetzlicher Mindeststandards zu gewährleisten, in Krankenhäusern, zur Einstufung der Patienten in Risikoklassen, in der Produktentwicklung, um bereits im Entwurfsprozess Fehler zu entdecken und das Produkt zu optimieren, sodass die eventuellen Regressforderungen und Reparaturkosten möglichst gering gehalten werden. Dieses Verfahren dient also dazu, Schwachstellen in Systemen zu entdecken und zu beseitigen. Hierbei wird allerdings nicht, wie bei anderen Simulationsverfahren sonst üblich, ein Modell von einem funktionierenden System erstellt, sondern von einem gestörten. Ausgehend von diesem Modell bietet die Fehlerbaumanalyse die Möglichkeit, ein System qualitativ und quantitativ zu beurteilen, indem dieses auf Ursachenkombinationen möglicher Störfälle und deren Eintrittswahrscheinlichkeiten untersucht wird. In der nun vorliegenden Arbeit wird ausschließlich die qualitative Fehlerbaumanalyse betrachtet, deren Grundlagen im nächsten Abschnitt nähergebracht werden. 2 Grundlagen der qualitativen Fehlerbaumanalyse Die qualitative Fehlerbaumanalyse ist eine deduktive Methode zur Systemanalyse, die ausgehend von einem Systemfehler alle möglichen Ursachen sowie Ursachenkombinationen zusammenstellt, die zu diesem Systemfehler führen können, und diese graphisch in einem sogenannten Fehlerbaum darstellt. Ziel der qualitativen Fehlerbaumanalyse ist es Systemschwachstellen aufzudecken und durch geeignete Maßnahmen zu beseitigen oder so gut es geht zu verhindern. Dabei geht man wie folgt vor: 2.1 Systemanalyse Ein System ist definiert als eine Menge miteinander in Beziehung stehender Teile(Komponenten), die zu einem gemeinsamen Zweck interagieren. Bei der Systemanalyse wird das System in ein Modell überführt, wobei die Unterteilung des betrachteten Systems in Subsysteme und Komponenten sowie deren funktionale und kausale Zusammenhänge abgebildet werden. Die Systemanalyse ist die Voraussetzung für eine Fehlerbaumanalyse. 2.2 Fehlerbaumkonstruktion Ausgangspunkt der qualitativen Fehlerbaumanalyse ist die Festlegung eines Systemfehlers (auch

4 Top-Event genannt), dessen Ursachen ermittelt werden sollen. Ein Systemfehler liegt vor, wenn ein System, den vorgegebenen Zweck, für den es entwickelt wurde, nicht erfüllt. Er kann beschrieben werden als ein Ereignis, das einen unerwünschten Systemzustand hervorruft. Da, wie in der Systemdefinition angeführt, für das zweckdienliche Funktionieren des Systems dessen Komponenten zusammenarbeiten müssen, wird der betrachtete Systemfehler auf Fehler der Komponenten oder Fehler bei der Kooperation dieser zurückgeführt. Die Komponenten eines Systems können wiederum als Systeme angesehen werden und der Vorgang kann rekursiv fortgeführt werden bis zu einer gewünschten Detailtiefe. Die so ermittelten Fehler und Ursachen werden in einem Fehlerbaum visualisiert. Ein Fehlerbaum ist definiert als die graphische Darstellung der logischen Zusammenhänge zwischen den Fehlern und daraus entstehenden Ereignissen. Dafür wird die Datenstruktur eines Baumes herangezogen. In die Wurzel kommt das Top-Event, dessen Ursachen ermittelt werden sollen. Die Kindknoten sind die Fehler auf der Subsystemebene, die zu dem Top-Event führen, wobei die Baumniveaus wiederum rekursiv mit den verursachenden Fehlern auf der jeweiligen Subsystemebene aufgefüllt werden können Elemente des Fehlerbaums Zusätzlich werden die Fehler in drei Kategorien eingeordnet: - Zwischenereignis: Ein Zwischenereignis beruht auf einem Fehler, der auf Ursachen oder Ursachenkombinationen zurückgeführt werden kann, die in den Fehlerbaum aufgenommen werden. Ein Zwischenereignis bildet einen inneren Knoten des Baums und wird in ein Rechteck geschrieben: [Abbildung1: Zwischenereignis] - Basisereignis Ein Basisereignis beruht auf einem Fehler, der auf dem Ausfall eines elementaren Bauteils, menschlichem Versagen oder einem Bedien-Fehler beruht. Der Fehler wird nicht weiter in Ursachen aufgegliedert und stellt die feinste Auflösung des Fehlerbaums dar. Im Fehlerbaum wird ein Basisereignis durch einen Kreis unterhalb der Fehlerbeschreibung symbolisiert: [Abbildung 2: Basisereignis]

5 - unentwickeltes Ereignis: Ein unentwickeltes Ereignis beruht auf einem Fehler, dessen Ursachen nicht weiter aufgegliedert werden, da keine näheren Details bekannt sind oder die weitere Verfeinerung des Fehlerbaums nicht erwünscht ist. Es wird im Fehlerbaum durch eine Raute unterhalb der Fehlerbeschreibung symbolisiert: [Abbildung 3: unentwickeltes Ereignis] Da Basisereignisse und unentwickelte Ereignisse nicht weiter auf ihre Ursachen zurückgeführt werden, bilden sie die Blätter des Fehlerbaums. Jedes Zwischenereignis wird durch eine logische Verknüpfung mit seinen auslösenden Ursachen verbunden, dargestellt durch die Kanten im Fehlerbaum. Die zwei Basistypen der logischen Verknüpfungen im Fehlerbaum sind die UND- und die ODER-Verknüpfung: - UND-Verknüpfung Die UND-Verknüpfung wird angewandt, wenn ein Zwischenereignis nur eintritt, falls alle seine aufgeführten Ursachen eintreten. [Abbildung 4: UND-Verknüpfung] - ODER-Verknüpfung Die ODER-Verknüpfund wird benutzt bei Zwischenereignissen, die eintreten, wenn eine oder mehrere der Ursachen auftreten. [Abbildung 5: ODER-Verknüpfung] Die vorgestellten Symbole sind ausreichend, um einen Fehlerbaum zu konstruieren. 2.3 Fehlerbaumauswertung Aus einem vorliegenden Fehlerbaum kann man folgende Informationen ableiten: - Checkliste Ein Fehlerbaum kann als Checkliste dienen für ein reparaturbedürftiges System. Dazu verfolgt man ausgehend von einem Systemfehler alle ausgehenden Pfade solange, bis eine auf dem Pfad liegende Ursache nicht eingetreten ist oder man zu einem Blatt gelangt. Im

6 ersteren Fall muss der Pfad nicht weiter untersucht werden, da der Fehler durch eine andere Ursache verursacht werden muss. Im zweiteren Fall hat man eine mögliche fehlerhafte Komponente aufgespürt. - Systemschwachstellen / minimale Schnittmengen Ein Fehlerbaum eignet sich zum Aufdecken von Schwachstellen im System. Wie in der Definition von Fehlerbäumen erwähnt, ist ein Fehlerbaum die graphische Darstellung der logischen Zusammenhänge zwischen den Fehlern und daraus entstehenden Ereignissen. In den Knoten des Fehlerbaums sind die Fehler als Ereignisse beschrieben. Diese Ereignisbeschreibung wird als Aussage angesehen, der eine 1 zugeordnet wird, wenn der Fehler eingetreten ist, und eine 0, wenn der Fehler nicht eingetreten ist. Die Kanten des Fehlerbaums bilden die logischen Verknüpfungen zwischen diesen Aussagen. Ein Fehlerbaum stellt demnach einen aussagenlogischen Ausdruck dar. Um den Fehlerbaum in den aussagenlogischen Ausdruck zu überführen, den er graphisch darstellt, geht man nach dem Top-Down-Prinzip vor: Beginnend bei der Wurzel wird der Fehler rekursiv durch den aussagenlogischen Ausdruck ersetzt, der entsteht, wenn man die Ursachen des Fehlers mit der in der verbindenden Kante angegebenen logischen Verknüpfung verbindet. Dies geschieht solange, bis ein logischer Ausdruck vorliegt, in dem nur die Fehler aus den Blättern des Fehlerbaums vorhanden sind. Dieser Ausdruck wird umgeformt in die disjunktive Normalform, wobei jede Konjunktion der Normalform eine Schnittmenge bildet. Eine Schnittmenge ist eine Menge von Basisereignissen und unentwickelten Ereignissen, deren gleichzeitiges Eintreten zum Top- Event führt. Von Interesse sind dabei die minimalen Schnittmengen, denn dies sind die kleinsten Ereignismengen, die bereits ausreichen, um zum Top-Event zu führen. Eine Schnittmenge ist minimal, wenn sie keine andere Schnittmenge (echt) enthält. Bei ihnen liegt das größte Risiko für einen Systemausfall, denn es gilt: Je weniger Elemente in einer Schnittmenge enthalten sind, desto wahrscheinlicher führt die Schnittmenge zum Auftreten des Top-Events. Das liegt daran, dass die anderen Schnittmengen jeweils Teilmengen der minimalen Schnittmengen sind und es gilt: Wenn A Teilmenge von B ist, dann ist die Wahrscheinlichkeit das A eintritt geringer als die Wahrscheinlichkeit das B eintritt. In minimalen Schnittmengen liegen einerseits die größten Systemschwachstellen, andererseits liegen dort die Möglichkeiten zur Verbesserung der Systemstabilität. Wenn die Ursache nur eines Elementes der Schnittmenge verhindert werden kann, der Fehler also nicht mehr auftritt und das Element somit auch aus der Schnittmenge verschwindet, dann geht für die verbleibende Menge die Schnittmengeneigenschaft verloren und somit auch die Gefährdung für das System. Nachdem nun alle wichtigen Grundlagen gelegt sind, um eine beispielhafte qualitative Fehlerbaumanalyse durchzuführen, will ich dies an einem Beispiel auch tun. 3. Anwendungsbeispiel: Halten einer Präsentation Im folgenden wird eine stark vereinfachte qualitative Fehlerbaumanalyse durchgeführt für das System eine Präsentation halten.

7 Dazu liegt eine Systemanalyse bereits vor in Form des Merkblatt für die Evaluierung von Vorträgen von der ViLab-Homepage. Als Top-Event wird das Ereignis schlechte Präsentation halten gewählt. Um es einfach zu halten, wird für den Fehlerbaum angenommen, dass die Güte eines Vortrags nur von den beiden Kriterien Physik, der die Vortragsweise beschreibt, und Inhalt, der das Vorgetragene beschreibt, abhängt. Ein schlechter Vortrag hat seine Ursachen demnach entweder in einer uninteressanten Vortragsweise ( Physik ) oder einem uninteressanten Inhalt ( Inhalt ). Die uninteressante Vortragsweise wird als unentwickeltes Ereignis stehen gelassen und nicht weiter untersucht. Die Gründe eines uninteressanten Inhalts werden durch Erfahrungswerte in zwei mögliche Gründe aufgeschlüsselt, die beide simultan auftreten müssen: die Grundlagen, auf denen der Vortrag aufbaut, sind für die Zuhörer unbekannt, was entweder daran liegen kann, das die benötigten Grundlagen nicht vermittelt wurden oder das bei der Erstellung des Vortrags die Zielgruppe des Vortrags nicht berücksichtigt wurde. die Bedeutung des Inhalts für die Zuhörer ist nicht deutlich geworden. Dies wird darauf zurückgeführt, dass der Inhalt des Vortrags wirklich bedeutungslos war oder dass die Zielgruppe des Vortrags nicht berücksichtigt wurde. Der sich ergebende Fehlerbaum sieht wie folgt aus: [Abbildung 6: Fehlerbaum für das Top-Event "schlechte Präsentation halten"]

8 Der Fehlerbaum dient als Grundlage, um die Systemschwachstellen aufzudecken, für die es dann gilt, mögliche Lösungsansätze zu finden. Dazu wird er in den aussagenlogischen Ausdruck umgewandelt, den er darstellt. Die Fehler werden nachfolgend mit einem abkürzenden Buchstaben, wie im Fehlerbaum notiert, bezeichnet. Das Top-Event A ergibt sich aus den Ereignissen B und C verknüpft durch ein logisches ODER. A = (B v C). C ist ein Blatt des Fehlerbaums und kann nicht weiter durch seine Ursachen ersetzt werden. B hingegen ergibt sich aus D und E verknüpft durch ein logisches UND: B= (D ^ E) Es wird im Ausdruck, der das Top-Event ergibt, ersetzt: A =( B v C) = ((D ^ E) v C) Ereignis D ergibt sich aus F und G verknüpft durch ein logisches ODER: D = (F v G) Für das Top-Event ergibt sich folglich: A = ((D ^ E) v C) = (((F v G) ^ E ) v C) = (((F ^ E) v (G ^ E)) v C) E kann dargestellt werden durch H und G verknüpft mit einem logischen ODER: E = (H v G) Auch E wird im Ausdruck des Top-Events ersetzt: A = (((F ^ E) v (G ^ E)) v C) = (((F ^ (H v G)) v ( G ^ (H v G))) v C) Das Top-Event liegt nun vor als aussagenlogischer Ausdruck, der nur abhängig ist von den Ereignissen, die die Blätter des Fehlerbaums bilden. Eine einfache Umformung (nach der demorganschen Regel) ergibt die disjunktive Normalform: A = (((F ^ (H v G)) v ( G ^ (H v G))) v C) = ((((F ^ H ) v (G ^ F)) v ((G ^ H) v G)) v C ) Die Schnittmengen des Systems ergeben sich aus den Konjunktionen der disjunktiven Normalform. Diese sind (F ^ H), (G ^ F), (G ^ H), G, C. Die Schnittmengen G und C bestehen nur aus einem Element und sind somit offensichtlich minimal. Da G eine minimale Schnittmenge ist, können (G ^ F) und (G ^ H) keine minimalen Schnittmengen sein. Die minimalen Schnittmengen des Systems sind demnach nur G, C, (F ^ H). Das bedeutet eine Präsentation ist genau dann schlecht, wenn entweder die Zielgruppe nicht berücksichtigt wurde, mit einer uninteressanten Vortragsweise präsentiert wird oder zugleich die Grundlagen nicht vermittelt wurden und der Inhalt bedeutungslos war. Diese Ereignisse bilden die Schwachstellen des Systems. Für sie sollte man sich Strategien überlegen, damit sie nicht eintreten und die Präsentation doch noch ein Erfolg wird. Mögliche Lösungsansätze für die ermittelten Systemschwachstellen beinhalten z.b. eine Zielgruppenanalyse in der man die Interessen und Wissensgrundlagen der Zuhörer ermittelt und bei der Erstellung der Präsentation an diese anknüpft. Für die ermittelte Schwachstelle einer uninteressanten Vortragsweise empfiehlt sich z.b. Übung. Nachdem man für alle minimalen Schnittmengen einen Lösungsansatz gefunden hat und diese umsetzt, kann das Top-Event nicht mehr auftreten. 4. Zusammenfassung In dieser Arbeit wurde dargelegt, wie die qualitative Fehlerbaumanalyse zur Ermittlung von Systemschwachstellen beitragen kann, indem die Grundlagen vermittelt wurden, anhand derer man für ein gestörtes System einen Fehlerbaum konstruieren und diesen dann mit den Mitteln der Logik auf Systemschwachstellen überprüfen kann. In einem Beispiel wurde dies dann demonstriert. Zudem wurden mögliche Lösungsansätze präsentiert, mit denen das Top-Event verhindert werden kann. Vorteile der qualitativen Fehlerbaumanalyse sind die Möglichkeit, eine übersichtliche grafische

9 standardisierte Darstellung zu erzeugen, die kausale Zusammenhänge des Systems sichtbar, dessen Schwachstellen ermittelbar und das Finden von Lösungsansätzen möglich macht. Nachteile der qualitativen Fehlerbaumanalyse sind, dass eine Vollständigkeit des Fehlerbaums nicht gewährleistet werden kann, fundierte Kenntnisse des Systems vorausgesetzt werden, bei zu großer Komplexität des abzubildenden Systems schnell die Übersicht verloren und zudem keine exakte Modellierung von Komponenten mit mehr als zwei Zuständen möglich ist. Weiterhin beinhaltet die qualitative Fehlerbaumanalyse keine Priorisierung der Top-Events, z.b. bei Betrachtung der Systemschwachstellen eines Autos würden die Top-Events Scheibenwischerausfall und Motorenausfall gleichrangig behandelt, obwohl diese für die Sicherheit des Autofahrers unterschiedliche Wichtigkeit besitzen. Eine mögliche Erweitung der qualitativen Fehlerbaumanalyse ist die quantitative Fehlerbaumanalyse, bei der zusätzlich Aussagen über die Wahrscheinlichkeit aller Fehler eines Systems getroffen werden können. Dies ist hilfreich, um z.b. als Automobilhersteller Aussagen über Ausfallwahrscheinlichkeiten von Fahrzeugen zu treffen, um die - falls die Reparatur innerhalb der Garantiezeit stattfindet - auf ihn zukommenden Reparaturkosten abzuschätzen und dementsprechend Rücklagen zu bilden.

10 5 Quellenverzeichnis Quellen: Werner Pepels: Marketing 2004 Albrecht Haindl: Risk Management von Lieferrisiken 1996 U.S. Nuclear Regulatory Commission: Fault Tree Handbook 1981 Links: b8abd8c125738b005fc580/$FILE/06%20QM%20in%20der%20Produktentwicklung.pdf :15Uhr :15Uhr :15Uhr Abbildungen: Abbildung 1-5 aus: U.S. Nuclear Regulatory Commission: Fault Tree Handbook 1981 Abbildung 6: selbst angefertigt