I7-04 故障树分析（FTA）实操：建树、最小割集与顶事件概率定量

课程代码 I7-04 · 板块 I 结构设计与工程化 / I7 DFMEA 与安全设计 时长 约 4.5 小时（6 讲，其中第 6 讲为完整实操） 适合对象 功能安全工程师与系统工程师（必修——要为「无单点失效」签字的岗位）；可靠性工程师按第 3~5 讲选学；结构与控制工程师按第 1、2 讲选学（要会读别人交来的树、会当场判有没有一阶割集） 前置 I7-01 热管理系统/零部件 DFMEA 实操 热管理系统/零部件 DFMEA 实操（底事件清单的来源）；I6-04 可靠性目标、分配与寿命数据统计（TMS 可靠性量化入门） 可靠性目标、分配与寿命数据统计（自上而下的分配侧）；体系外前置（需自备）：布尔代数的逻辑和与逻辑积、幂等律与吸收律；基本概率的并集与交集、独立事件的乘法 本讲义定位 讲师授课蓝本 / 学员自学讲义。本课是一个模型的方法本体课——把已经散落在别处的定量件（残余危险失效率、串联可靠度、共因失效因子、寿命分布参数）串成一棵系统级的树，求出顶事件概率，并据此排出整改顺序。⛔ 它不是「可靠性建模从零补白」：失效模式识别、冗余结构本体、功能安全度量公式、寿命数据统计四件各有属主，本课一律引用不重讲。

按任务导航

⛔ 本课不覆盖 · 栏一（每样带去向）：失效模式清单、结构树与功能网、S/O/D 与行动优先级 → I7-01 热管理系统/零部件 DFMEA 实操；冗余结构本体、1oo2/2oo3 表决、失效安全的默认位与降级层级 → I7-02 失效安全（Fail-safe）与冗余设计；危害分析与风险评估、安全目标分解、单点失效度量与潜伏失效度量与随机硬件失效概率度量的公式、两个诊断覆盖率的区分、相关失效分析的共因识别 → I7-03 功能安全导向的结构与失效模式设计；控制器与软件侧的安全机制实现、安全要求在架构里的分解组合、确认措施的组织独立性 → K2-03 功能安全（ISO 26262）在热管理中的应用；泄漏机理、渗透率与检漏手段（泄漏路径的应用树本身在那门课） → I3-03 冷媒/冷却液泄漏路径与防泄漏设计；传感器测点分级、通道独立性要求、表决判据与共模偏置免疫边界 → K1-03 传感器布置、冗余与信号可靠性；可靠性目标的自上而下分配、寿命分布拟合与删失处理、浴盆三段判别、加速因子与置信传递 → I6-04 可靠性目标、分配与寿命数据统计（TMS 可靠性量化入门）；台架寿命数据的判读 → I6-02 密封与接头寿命设计与加速试验对标 / L1-04 振动、热冲击与耐久台架试验；在役与索赔数据的分母与右删失口径 → M2-05 售后保修与在役失效数据分析：从索赔表读出真实故障率并反馈设计；集成模块的串联可靠度账与连乘模型前提 → B3-05 集成模块的整车架构取舍与边界划分 / G8-01 集成热管理模块（TMM/阀岛/超级水壶）架构；阀岛模式数膨胀这条架构代价本身 → B2-03 纯电（BEV）整车热管理架构设计；变更后的复评触发与差异点登记 → I7-05 变更点失效分析（DRBFM）与变更评审；风扇驱动方式的失效安全取向 → G6-05 发动机/液压驱动冷却风扇：硅油离合器、液压马达与驱动方式选型；仿真侧「响应超限概率」的不确定度量化 → J7-06 仿真不确定度量化（UQ）与稳健/可靠性设计：从确定性单点到带分布的裕度。

⛔ 本课不覆盖 · 栏二（真正不给的数，各带理由）：① 任何一条方法标准的条款内容——故障树方法标准族、元器件失效率手册族、共因因子模型的方法来源、可靠性框图方法标准族，本课一律只写「它管什么、你要从它那儿拿什么」，⛔ 本课未逐条核过原文，编号与版次以现行有效目录为准、引用前须核原文；② 任何具体器件的失效率取值——它由器件类型、工艺、结温、任务剖面与所选数据源共同决定，本课教的是取数口径与四列元数据，⛔ 不代替数据源；③ 共因失效因子 β 的推荐值——它取决于你实际做到的隔离程度，填一个默认值等于用一个数掩盖一项没做的分析（5.5）；④ 顶事件概率的合格线——那是安全目标那一侧的事，属主是 I7-03 功能安全导向的结构与失效模式设计。

⚠ 栏二之外的平台相关量（电池过温门限、快充工况的时间窗、任务剖面运行小时数、检验周期、修复时间），本课照给典型区间与常见值锚点，逐条标「⚠ 典型值、⛔ 不是验收依据，须实测确认」并写明拿到它的路。汇总表在 3.9。

⚠ 凡本课正文与图上出现的失效率、概率、β 与 τ 的具体数字，一律是「演算假设值」——它们的唯一用途是让你能逐步复算、看清各项的相对量级，⛔ 不对应任何平台、任何器件、任何供应商，⛔ 禁止取用。每处首次出现均逐个标出。

引言：一棵签了字的树，和它藏起来的那个一阶割集

安全评审桌上最容易通过的一份材料，是一张画得很整齐的故障树。它有顶事件、有分层的门、有一排整齐的圆形底事件，末页写着一行结论：最小割集中不存在一阶割集，无单点失效。这句话是签字的依据。

它可以是假的，而且造假不需要任何人存心。只要满足下面任意一条，那行结论就不成立，而树本身看不出任何异常：

• 某个支路停在「泵总成」一个底事件上，泵控制器的供电被吞在这个总成里面 ⇒ 它永远不会作为一个底事件出现，也就永远不会出现在割集清单里；
• 同一路 12V 供电在树的两个分支上各画了一个圆，被当成两个独立事件 ⇒ 布尔化简那一步就错了，本该化出来的一阶割集被算成了二阶；
• 双温度传感画成与门，看上去是二阶割集，而两路共用同一颗模数转换器 ⇒ 结构上是二阶、概率上按一阶的量级贡献。

这三条的共同点是：它们全都发生在建树那一步，而定量那一步会忠实地把它们放大成一个漂亮的小数字。算得越精细，越没人回头去看树画对没有。

本课把这件事拆成六讲。第 1 讲管建树的语法与边界——顶事件怎么写、门怎么选、拆到哪儿停。第 2 讲管定性求解——把树翻成布尔式、化简、求最小割集，并回答「有没有单点失效」这一个问题；这一讲不需要任何失效率数据，却已经能交出工程结论。第 3 讲管底事件取数：数从哪儿来、三类概率模型怎么选、检验周期怎么进公式。第 4 讲管概率往上传与重要度排序。第 5 讲管相关性——共因失效怎么显式挂进树，以及冗余到位之后到底还剩多少。第 6 讲把前五讲用在一条真实形态的电池冷却回路上，从头走到尾，交出三张表。

一句话记住本课的次序：先把树画对，再把数填对，最后才轮到算。顺序颠倒过来，算得再准也只是把一个错误结论表达得更有说服力。

第 1 讲　建树语法与分析边界：顶事件、成功准则、门、转移符与停止准则

1.1 顶事件必须写成一句能判真假的话：五件套

顶事件是整棵树的定义域。它写得含糊，树就一定发散——因为每一个分支该不该往下拆，判据都是「它会不会导致顶事件」，而这个判据在顶事件含糊时无法执行。

顶事件必须五件齐全：

判据只有一条：把这句顶事件交给试验工程师，他能不能用一条判据在台架或整车上判它真假。判不了，就还没写完。

• ⛔ 反例：「电池热管理失效」——这是一个范畴名，不是事件。它下面能挂的分支没有边界，树会一直长下去。
• ⛔ 反例：「电池温度过高」——有对象有状态，缺阈值、缺工况、缺时间窗。「过高」是多少？停车时和快充时是同一个数吗？
• ✅ 正例（本课的运行算例，阈值与时间窗为平台相关量，此处取的是演算假设值）：「在直流快充工况下，电池包最高单体温度超过 55 ℃，且冷却系统未能在越线后 60 s 内把温升速率压到 0.5 ℃/min 以下」。

★ 同类范例在 I3-03 冷媒/冷却液泄漏路径与防泄漏设计 已有一条可直接对照：该课把泄漏树的顶事件写成「回路年泄漏量超限，或冷媒充注量跌破功能阈值」——注意它同样是对象＋状态＋阈值齐全的一句话，而不是「系统泄漏」。

⚠ 上面那个 55 ℃ / 60 s / 0.5 ℃·min⁻¹ 是平台相关量。工程上的典型区间：电池包冷却介入门限常见在 35~45 ℃、安全侧的过温报警门限常见在 50~60 ℃（常见值锚点：许多乘用车平台把快充过温保护线放在 55 ℃ 附近），响应时间窗常见在 数十秒到数分钟量级。⚠ 典型值、⛔ 不是验收依据，须实测确认。拿到它的路：本项目电芯供应商的使用条件规范里的温度窗、整车热安全策略文档里的分级门限、以及 I7-03 功能安全导向的结构与失效模式设计 那一侧危害分析给出的安全目标——三者取交集，取不一致时以安全目标为准。

1.2 建树前先写死三项边界，否则每次评审都在重画

顶事件定住了「什么算失效」，边界定住的是「哪些东西算在里面」。三项缺一不可，而且必须写在树的第一页上：

1. 物理边界——树里哪些件算本次分析的对象，哪些件按外部输入处理。判据是「它的失效我们能不能改」：改不了的（比如整车主正接触器）按外部事件画一个菱形，不再往下拆，但它的概率仍要给。⛔ 最常见的错误是把外部件直接删掉——删掉之后它对顶事件的贡献就消失了，而现实里它还在。
2. 工况边界——这棵树对应哪一个运行工况与任务剖面。快充、高速巡航、停车充电、低温加热，四个工况的失效路径与暴露时间完全不同。⛔ 一棵树只对应一个工况；要覆盖多工况，是多棵树，不是在一棵树里加分支。
3. 成功准则——「功能正常」的最低标准是什么。这一条决定了中间事件的分界线：冷却回路流量降到额定的 70% 算不算失效？成功准则不写，同一个中间事件在两个人手里一个画进树、一个画不进。