故障树分析（FTA）实操：建树、最小割集与顶事件概率定量

课程大纲

• 能把一句含糊的失效关切改写成可判定的顶事件定义（对象＋失效状态＋阈值＋工况＋时间窗），并在建树前写死物理边界、工况边界与成功准则三项，外加一条统一的展开停止准则
• 能判断某个功能关系该用与门还是或门，并说清两个门画反时误差的方向——冗余画成或门偏保守、串联功能链画成与门偏危险
• 能用转移符把重复子树只画一次，并识别出重复事件为什么不能当两个独立事件处理
• 能说清 FTA 与 FMEA/FMEDA 的自上而下/自下而上对偶关系：谁供底事件清单、谁供对表的度量、为什么两者互为校核而不互相替代
• 能用 MOCUS 手算最小割集、按阶数排序，并据此判定 I7-02 那条「最小割集中不存在一阶割集」的单点失效覆盖判据
• 能为一个底事件在不可修 / 可修 / 需求型三类概率模型中选对一个，并说出选错时误差的方向与量级
• 能说清底事件 λ/FIT 三个来源（供应商 FMEDA 报告、元器件失效率手册族、台架与在役数据）各自的口径差，并为每个底事件填齐「数值/来源/口径/环境与应力条件」四列
• 能用 P ≈ λ·τ/2 算潜伏失效概率，并据此把「加一个诊断」这句话折成树上可见的收益量级
• 能用罕见事件近似算顶事件概率并给出上下界，并用三条口径条件（同一时间基准、同一失效范畴、同一顶事件定义）判断它能不能与 PMHF/FIT 目标对表
• 能算 Birnbaum 与 Fussell-Vesely 两套重要度、解释两套排序为什么不同，并据此选出整改方向是「加冗余升阶」还是「降 λ / 加诊断」
• 能用 β 因子把共因失效显式挂进树，定量说出 I7-02 的 R_sys ≈ 1−(1−R)ⁿ 在给定 β 下高估了多少，并判断三路以上系统何时必须改用 α 因子或 MGL
• 能在 FTA 与 RBD 之间互换（串联↔或门、并联↔与门、k-out-of-n↔组合门），并说出各自适用场合与「这棵树已经表达不了」的识别信号

1. 建树语法与分析边界：顶事件、成功准则、门、转移符与停止准则
   • 顶事件必须写成可度量、可判定的单一事件——对象＋失效状态＋阈值＋工况＋时间窗五件齐全；写成「电池热管理失效」这类范畴名，树一定发散。判据是这条顶事件能否用一条判据在台架或整车上判真假，可参照 I3-03 已写好的范例（「回路年泄漏量超限，或冷媒充注量跌破功能阈值」）
   • 分析边界三件必须在建树前写死：物理边界（哪些部件与接口进树）、工况与运行模式边界（快充、高温怠速、低速爬坡不是同一棵树）、成功准则（系统「没失效」的定义）。三者任一改动，最小割集与顶事件概率都变，旧树不得复用——这条是热管理树跨车型复用时最常见的错账来源
   • 与门（AND，全部输入发生才向上传播）与或门（OR，任一发生即传播）的语义与误用方向：串联功能链（水泵→管路→冷板，任一断即失效）在树里是或门，只有真冗余通道（双温度传感）才是与门。把冗余画成或门算高、偏保守，把串联画成与门算低、偏危险——后者才是必须机检的方向
   • 转移符（transfer in / out）用来把重复的子树只画一次、在多处引用；它同时是重复事件的主要来源——同一个底事件（如同一路 12V 供电、同一个 ECU）出现在树的不同分支时不是两个独立事件，不合并会让布尔化简一步就错（处置在第 2 讲的幂等律）
   • 展开的停止准则三条任一满足即停：底事件已有可用的失效率数据、已到可采购或可更换的最小单元、再往下拆不改变整改动作。停止层不统一是返工最大来源——一边拆到 O 圈、一边停在「泵总成」，两边的 λ 口径根本不可比，且被吞进总成里的失效模式不会在割集里露头
   • FTA 与 FMEA/FMEDA 是自上而下与自下而上的对偶：FMEDA 从件的失效模式合成到度量，覆盖全但不追后果链；FTA 只展开与顶事件相关的分支，深但不全。两者互为校核而非互相替代——I7-01 的失效网是本课底事件清单的来源，I7-03 的 FMEDA 度量是本课顶事件概率的对表对象
   • 本课只做故障树一种模型：事件树（自左向右展开后果序列）与 bow-tie（把故障树与事件树在同一顶事件处对接）既不在本课射程、现有课程体系里也无课。需要后果侧展开时按本课的顶事件定义另立分析，不要把后果分支硬塞进故障树的门里——门表达的是「怎么导致」，不是「导致之后」
2. 定性求解：布尔化简、最小割集与一阶割集识别
   • 把树翻成布尔式：或门→逻辑和、与门→逻辑积，顶事件 T 写成底事件的和—积式。化简只用三条律——幂等（X·X=X）、吸收（X+X·Y=X）与分配，其中幂等律正是处理重复事件的地方；不合并重复事件会让割集数虚高、并在定量时把同一底事件算两遍
   • MOCUS（Method for Obtaining Cut Sets）的手算流程：从顶事件起自上而下逐门替换，或门横向展开成多行、与门纵向展开成同一行的多列，展开到只剩底事件，再逐行做吸收。最小性判据是任一割集去掉任一元素后不再导致顶事件——这条判据要能手工逐行验，不能只信工具输出
   • 割集与最小割集要分清：割集是「同时发生即致顶事件」的底事件集合，最小割集是其中不含冗余元素的那些。工程结论只认最小割集，用非最小割集算概率必然重复计数，得到的顶事件概率虚高且无法与目标对表
   • 一阶（单元素）最小割集就是单点失效——这是本课与 I7-02 之间最硬的一条接口：该课已把「单点失效已被覆盖」的判据写成「最小割集中不存在一阶割集」，本课负责给求法。判定动作是把最小割集按阶数升序排，先看一阶那一栏空不空
   • 冗余在树上的作用是把一阶割集升阶：双温度传感把「传感器失效」从一阶升成二阶。但阶数升了不等于风险降了——若两元素共享供电或 ADC，第 5 讲的共因项会把该支路按一阶量级算回来，K1-03 已把「同批次连接器本身就是共因源」写成具体来源
   • 定性结果先于定量：最小割集清单在没有任何 λ 数据时就能用（按阶数排序＋工程判断），I3-03 的泄漏路径树正是这么用的——只到一阶割集与渗透率量级，不做完整概率定量。判据是「拿不到底事件数据」不构成不做树的理由，做树先做定性
   • 割集数爆炸的处置：多通阀与集成阀岛把模式数推高，树的分支随之膨胀（B2-03 已把这条记为架构代价）。处置是阶数截断（只保留 1~3 阶）与概率截断，且截断阈值与被丢弃的割集数必须一并记进分析报告——默默截断会让顶事件概率系统性偏低，而报告上看不出来
3. 底事件取数：λ/FIT 的来源与口径、三类概率模型、暴露时间
   • 底事件概率的三个来源与各自口径：供应商 FMEDA 报告（已按元件分好失效模式与分布，但常绑在其自身假设的任务剖面与环境等级上）、元器件失效率手册族（SN 29500 / IEC 62380 一类，编号与现行版本须确认后再引；给的是电子件在规定应力下的基准 λ，须按温度与电应力做修正）、台架与在役数据。三源可以并用，但同一棵树里混用而不逐条声明口径，评审中按不可采信处理
   • 台架与在役数据的口径差必须显式换算再入树：台架是定数/定时截尾样本，在役是右删失加暴露量作分母（拟合本体归 I6-04，索赔表口径整段归 M2-05）。同一个底事件在两个来源下能差一个量级，判据是入库前先声明分母与删失方式
   • 不可修件用 P(t) = 1 − e^(−λt) ≈ λt，t 取任务时间或寿命暴露时间——这是热管理机械件与一次性兜底件（如热熔断体）的默认模型；成立前提是 λ 落在浴盆曲线的常失效率段，落在早期或磨损段时 λ 不是常数、该式无意义（三段判别归 I6-04）
   • 可修件按不可用度算 P ≈ λ·MTTR，t 取修复时间而不是寿命。把整车上可更换的件（电子水泵、EXV 总成）按 λt 算会把概率放大近两个量级，这是热管理树里最高频的取数错误之一；但 MTTR 的成立前提是失效能被发现从而触发修复——没有诊断就没有 MTTR，用「保养周期」冒充 MTTR 会把概率算低，方向危险
   • 需求型（按需动作）件用每次动作的失效概率 P_d（fail-to-start / fail-to-operate on demand），量纲是无量纲概率不是 1/h。电子水泵、EXV、多通阀这类平时不动、需要时才动的件必须按需求型建模；把 1/h 与 P_d 混填会让整棵树的量纲失去意义，动作次数计量口径见 I6-04 的循环计量
   • 暴露时间与检验周期决定潜伏失效的概率：未被诊断的失效在下一次能查出它的检查之前一直挂着，平均暴露时间约为检验周期 τ 的一半，故 P_潜伏 ≈ λ·τ/2。τ 必须按「能查出该失效的那次检查」计——上电自检查不出的失效，τ 是保养或年检间隔而不是行程时长；这是「加诊断」在树上唯一说得清的收益
   • 与 I7-03 的取数接口只有两条，别做第三条：把 FMEDA 算出的残余危险失效率 λ_RF = λ_D×(1−DC_RF) 作为该件危险失效底事件的 λ 接进树，潜伏侧用 λ_MPF×(1−DC_LF) 配上一条的 τ。DC_RF 与 DC_LF 的区分、SPFM/LFM/PMHF 的公式与 ASIL 目标一律归 I7-03，本课只接收数值并检查它有没有机制支撑
   • 每个底事件入库必须带四列元数据：数值、来源、口径（任务时间 / 修复时间 / 每次动作）、适用环境与应力条件。缺任一列的底事件在评审中按不可采信处理——这条纪律的作用是让「谁的数、什么条件下的数」在换车型或换供应商时还查得回来
4. 定量传播与重要度排序
   • 或门的精确式是 1 − Π(1 − Pᵢ)，罕见事件近似取 ΣPᵢ。近似在各 Pᵢ ≪ 1（约 ≤10⁻²）时误差可忽略且偏保守（算高，安全方向）；Pᵢ 上到 10⁻¹ 量级后偏差明显甚至可能超过 1，判据是先估出最大的那个 P 再决定用不用近似
   • 与门在独立假设下取 ΠPᵢ，独立性是与门唯一的硬前提。不成立时这一项严重低估、方向危险，处置整段在第 5 讲——不要靠「注意一下独立性」这句注释了事
   • 顶事件概率按最小割集算 P_T = 1 − Π(1 − P_C)，罕见事件近似 ΣP_C 是上界（忽略了割集间的交集），下界取最大单个割集概率。存在重复事件时绝不能逐门自下而上乘上去，必须先化简到最小割集再算；上下界张开时报区间而不是单值
   • 顶事件概率与 PMHF/FIT 目标对表要过三条口径：同一时间基准（PMHF 是 1/h 的率、树给的常是任务期内的概率，须先统一）、同一失效范畴（PMHF 只算安全相关电子硬件的随机失效，树里的机械件与系统性错误不在其中）、同一顶事件定义（PMHF 对的是违反安全目标，不是任何功能失效）。三条不全就不许把树的数填进 I7-03 的度量表
   • Birnbaum 重要度是该底事件从 0 变到 1 时顶事件概率的变化量，答「这件事如果一定发生，后果有多大」，与该件自身概率无关——用来挑该加冗余、加安全机制的位置；处在一阶割集上的件这个值必然接近 1
   • Fussell-Vesely 重要度是含该底事件的最小割集概率之和除以顶事件概率，答「顶事件概率里有多少份来自它」，与该件自身概率有关——用来排该降 λ 或该加诊断的投资顺序。注意各底事件的 I_FV 之和一般大于 1，不可当成占比归一化解读
   • 两套重要度给出不同排序是正常的而不是算错：概率极低但处在一阶割集上的件 Birnbaum 高、FV 低，信号是「该加冗余而不必降 λ」；概率高但只出现在高阶割集里的件可能 FV 仍高，信号是「该改件本身」。判据是先想清要改架构还是改件，再选用哪一套排序
   • 重要度的唯一合法用途是驱动设计改动并回算：排序 → 选整改（升阶 / 缩短 τ 加诊断 / 换更低 λ 的件 / 做独立化）→ 重算顶事件概率与新排序，形成闭环。只排序不回算的重要度分析在评审里不算工作产物
   • 「重要度」一词在 M3-02 的 VA/VE 里指 V = F/C 中给功能打的价值分，与本课的概率重要度同形异义、无任何关系；同一份报告里两者并存时必须显式标注，否则读者会把降本排序当成安全排序
5. 相关性建模：β 因子共因、独立假设失效的量级与 FTA↔RBD 互换
   • 共因失效必须显式挂进树，不能靠「注意独立性」这句话带过：做法是在冗余支路的与门旁并上一个或门，把 CCF 事件与「各路独立同时失效」并列。CCF 一旦成为一个独立底事件，它的贡献就能被割集与重要度看见，也能被整改后回算
   • β 因子模型：λ_CCF = β·λ_单通道，剩下 (1−β)·λ 走独立通道；β 的工程量级通常在百分之几到百分之十几，取值依据是通道间的物理、供电、时钟与批次隔离程度，须逐条论证。K1-03 已把 λ_CCF = β·λ_single 这条结论与「同批次同型号连接器是共因源」写进正文，本课负责把它挂进树
   • 挂上 β 项后的量级感要算给学员看：独立假设下二阶割集概率是 (λt)²，CCF 项是 β·λt，两者相差约 1/(β·λt) 倍。λt 在 10⁻⁴~10⁻³ 量级、β 取 0.1 时，CCF 项比独立双失效项大两个量级以上——即冗余到位后顶事件概率几乎全部由 CCF 决定，这正是 I7-02「残余风险 ≈ P_共因」这句结论的定量出处
   • 由此定量演示 I7-02 的 R_sys ≈ 1 − (1 − R)ⁿ 高估了多少：该式假定 n 路完全独立、把 CCF 那一份整份漏掉，在上一条的量级下它给出的不可靠度比含 β 项的结果小两个量级以上。工程结论是「n 路冗余的收益上限由 β 封顶、不由 n 决定」——n 从 2 加到 3 换不回一个量级，把 β 从 0.1 做到 0.01 才换得回来
   • α 因子与 MGL（multiple greek letter）用在三路及以上：β 因子只区分「一路独立失效」与「全部一起失效」两档，三路系统里还有「恰好两路一起失效」这一档它表达不了。判据是 2oo3 表决（结构本体归 I7-02）必须用 α 因子或 MGL 之一，只用 β 会漏掉双路共因这一档而把 2oo3 的可用性算得偏乐观
   • CCF 建模的前提是先做完独立性识别：β 因子只把已识别的共因量化，识别本身归 I7-03 的 DFA 与 K1-03 的通道独立性要求。把 β 填成手册默认值而不去查隔离措施，等于用一个数掩盖一项没做的分析——判据是 β 的取值必须能逐条追到具体隔离措施
   • FTA 与 RBD 的互换规则：串联 RBD ↔ 或门、并联 RBD ↔ 与门、k-out-of-n ↔ 组合门，对同一系统两者等价可互换（K1-03 已把「双传感器冗余可靠度既可用 RBD 并联算、也可用二阶割集算」写成结论）。选用判据是 RBD 顺着「系统怎么工作」画、适合成功导向与自下而上合成（分配侧归 I6-04），FTA 顺着「怎么失效」画、适合有明确顶事件且要找单点的场合；带修复、带共因的系统 RBD 表达不便，此时用 FTA
   • 收尾必须讲清静态故障树的固有边界：它是布尔模型，表达不了时序相关（先 A 后 B 与先 B 后 A 后果不同）与修复过程中的状态转移，这类问题要换马尔可夫类动态方法。本课不展开方法，但要求学员能识别出「这棵树已经表达不了」并在报告里把假设写明，而不是硬画进门里得出一个看着合理的数

• 以为顶事件可以写成「电池热管理失效」这类范畴名，其实顶事件不可判定树就必然发散——它必须带对象、失效状态、阈值、工况与时间窗，能用一条判据在台架或整车上判真假
• 以为把冗余通道画成或门更保守所以更安全，其实两个门画反的后果方向相反：冗余画成或门算高（浪费在无谓整改上），串联功能链画成与门算低（漏掉真风险），后者才是必须机检的危险方向
• 以为同一个底事件出现在两个分支上就是两个独立事件，其实那是重复事件，必须先用布尔幂等/吸收律合并；不合并会让割集数虚高，并在定量时把同一底事件算两遍
• 以为割集就是最小割集，其实非最小割集含冗余元素，拿它算概率必然重复计数，得出的顶事件概率既虚高又无法与目标对表
• 以为加了冗余就没有单点失效了，其实判据是最小割集里不存在一阶割集；升成二阶后若两路共用供电或 ADC，CCF 项会把该支路按一阶量级算回来（判据由 I7-02 写死，求法在本课）
• 以为可修件与不可修件都用 P ≈ λt，其实可修件要用 λ·MTTR、t 取修复时间而不是寿命，两者能差近两个量级；反过来，没有诊断的件不是可修件，用保养周期冒充 MTTR 会把概率算低
• 以为平时不动的阀和泵也按 1/h 的失效率入树，其实需求型件要用每次动作的失效概率 P_d，量纲不同；把 1/h 与 P_d 混填会让整棵树的量纲失去意义
• 以为「加了诊断」就把潜伏失效解决了，其实收益全在检验周期 τ 上——P ≈ λ·τ/2，τ 放宽两个量级概率就抬两个量级；只说「有自检」不说 τ、不说这次自检查不查得出该失效，在树上算不出任何收益
• 以为顶事件概率可以直接填进 PMHF 那一栏，其实要先过三条口径（同一时间基准、同一失效范畴、同一顶事件定义）；PMHF 只算安全相关电子硬件的随机失效，树里的机械件与系统性错误不在其中（度量本体归 I7-03）
• 以为割集截断是求解器的技术细节，其实截断直接让顶事件概率系统性偏低；阈值与被丢弃的割集数必须写进报告，否则读者看不出这个数是下偏的
• 以为 Birnbaum 与 Fussell-Vesely 排序不一致是算错了，其实两者问的是不同问题：前者与该件自身概率无关、指向该加冗余的位置，后者与之有关、指向该降 λ 或加诊断的位置
• 以为各底事件的 Fussell-Vesely 重要度加起来应该是 1，其实一个割集会被它的每个成员各记一次，和一般大于 1，不能当占比归一化解读
• 以为 β 因子填个手册默认值就算把共因算进去了，其实 β 的取值依据是通道间隔离措施的逐条论证；填默认值等于用一个数掩盖一项没做的独立性分析（识别侧归 I7-03 的 DFA）
• 以为冗余路数 n 越多顶事件概率越低，其实挂上 CCF 项后收益上限由 β 封顶：n 从 2 加到 3 换不回一个量级，把 β 从 0.1 做到 0.01 才换得回来
• 以为三路冗余也用 β 因子就够了，其实 β 只有「一路独立失效」与「全部一起失效」两档，漏掉了「恰好两路一起失效」；2oo3 表决必须改用 α 因子或 MGL，否则可用性算得偏乐观
• 以为 M3-02 的「功能重要度」和本课的重要度是一回事，其实那是 VA/VE 里给功能打的价值分（V = F/C），与概率重要度没有任何关系
• 以为静态故障树什么都能表达，其实它是布尔模型：先 A 后 B 与先 B 后 A 后果不同的时序问题、修复过程中的状态转移它都表达不了；遇到时应写明假设并换方法，而不是硬画进门里得出一个看着合理的数

需求区 · 想听众筹

想听/点名均为需求登记，不涉及任何付款（意向金仅登记不收款）。满 5 人点名 → 自动向平台专家发邀约。