📚 课程目录第3章故障树分析入门

3. 故障树分析入门

故障树分析（Fault Tree Analysis，FTA）是汽车电子可靠性、功能安全与售后排障中最常用的演绎分析方法之一。它从一个明确的顶事件出发，逐层向下追问“什么原因会导致它发生”，直到不可再分或无需再分的底事件。与故障模式影响分析（FMEA）自下而上的归纳思路不同，FTA 是自上而下的演绎推理，特别适合回答“某个危险结果究竟由哪些组合条件触发”这类问题。

核心思想：把系统失效看作一个逻辑结果，用布尔逻辑把顶事件与底事件连接起来。故障树不是“故障清单”，而是一张可计算、可验证、可裁剪的因果逻辑图。

一、基本概念与事件类型

建树前必须先固定分析边界：系统定义、初始状态、成功准则、顶事件判据、时间窗口与维修策略。边界不清，树就会无限膨胀或遗漏关键路径。故障树中的事件按性质可分为以下几类：

顶事件：被分析的系统级不希望发生事件，如“行车中动力突然中断”。
中间事件：由下层事件逻辑组合导致的结果事件，如“VCU 未输出扭矩请求”。
底事件：位于树的最底层，通常对应元器件失效、软件缺陷、线束断路、接插件退针、标定错误等基本原因。
基本事件：无需再分解的底事件，用圆形符号表示。
未展开事件：因信息不足或概率极低而不再向下分解的事件，用菱形表示。
条件事件：仅在特定工况或条件下才参与逻辑组合的事件，如“车速大于 30 km/h”。
禁止事件：正常情况下不应发生、需单独隔离的事件，如维修误操作。

在汽车电子场景中，底事件往往不是单一硬件失效，而是“硬件失效 + 软件状态 + 环境应力 + 人因”的耦合。例如“CAN 通信丢失”可能由收发器损坏、终端电阻开路、总线短路、网关休眠策略错误或诊断仪误刷写共同导致。

二、逻辑门符号与图形约定

故障树用标准逻辑门表达事件之间的因果关系。最常用的是与门、或门、表决门、异或门和禁门。与门表示所有输入同时发生才导致输出；或门表示任一输入发生即导致输出；表决门表示 k/n 个输入中有 k 个发生才输出；禁门表示在条件事件满足时输入才有效。

符号	名称	逻辑含义	汽车电子示例
AND	与门	全部输入发生，输出才发生	传感器失效且冗余通道同时失效
OR	或门	任一输入发生，输出即发生	供电断路或搭铁不良导致 ECU 掉电
VOTE	表决门	k/n 个输入中至少 k 个发生	三路扭矩校验中两路异常
XOR	异或门	仅一个输入发生，输出才发生	双通道互斥信号不一致
INH	禁门	条件满足时输入才传递	仅在高压上电时继电器粘连才危险

绘制时需注意：同一事件在树中多次出现应使用转移符号，避免重复展开；门与事件之间用直线连接，不交叉、不悬空；每个门下方的事件应按逻辑关系排列，通常把发生概率高或可控性强的分支放在左侧，便于后续定性排序。

三、建树步骤：从顶事件到可验证底事件

规范的建树流程可以概括为“定边界、选顶事件、逐层演绎、规范命名、检查闭环”五步。下面给出一个汽车电子典型场景的建树骨架：

顶事件：行车中动力突然中断
├─ OR 中间事件：VCU 未输出扭矩请求
│  ├─ OR 底事件：VCU 供电异常
│  │  ├─ 基本事件：KL30 保险丝熔断
│  │  ├─ 基本事件：电源线束对地短路
│  │  └─ 基本事件：接插件端子退针
│  ├─ OR 底事件：VCU 内部故障
│  │  ├─ 基本事件：MCU 看门狗复位
│  │  └─ 基本事件：CAN 收发器失效
│  └─ AND 底事件：扭矩监控误触发
│     ├─ 基本事件：扭矩校验阈值标定过严
│     └─ 基本事件：传感器信号漂移
├─ OR 中间事件：电机控制器未响应
│  ├─ 基本事件：IGBT 驱动故障
│  └─ 基本事件：旋变信号丢失
└─ OR 中间事件：整车通信中断
   ├─ 基本事件：CAN 总线短路
   └─ 基本事件：网关休眠策略错误

建树时建议同步记录每个底事件的失效模式、检测手段、可观测信号、维修动作和验证方法。这样故障树才能从“分析图”变成“排障图”。在汽车电子中，底事件最好能对应到 DTC、冻结帧、示波器波形或总线报文，否则后续根因验证会缺少抓手。

四、定性分析与定量分析基础

定性分析的核心是求最小割集。割集是导致顶事件发生的一组底事件；最小割集是去掉其中任何一个事件后顶事件不再发生的割集。最小割集越少、阶数越低，系统越脆弱。一阶割集意味着单点故障，必须优先消除或增加冗余。定性排序通常遵循：一阶割集优先于二阶，二阶优先于三阶；同阶割集中发生概率高、暴露时间长、可检测性差的优先。

定量分析则是在已知底事件发生概率的前提下，计算顶事件发生概率和重要度。与门输出概率为各输入概率之积，或门输出概率近似为各输入概率之和（小概率时）。实际工程中常用以下参数：

底事件概率：可由现场失效率、台架试验、供应商数据或历史售后数据估计。
顶事件概率：反映系统级风险水平，用于安全目标对比。
概率重要度：某底事件概率变化对顶事件概率的影响程度。
关键重要度：结合底事件自身概率，识别最值得优先改进的环节。
结构重要度：仅从树结构判断底事件的重要程度，不依赖具体概率。

在汽车电子功能安全中，FTA 常与 FMEA、HAZOP、DFA 联合使用：FTA 负责自上而下找组合原因，FMEA 负责自下而上查单点失效，DFA 负责识别共因失效与耦合路径。三者交叉验证，才能避免“树画得很漂亮，现场却修不好”。

五、常见误区与复盘要点

初学者最容易犯的错误有：顶事件定义模糊，导致树无法收敛；把“现象”当“原因”，例如把“仪表报警”直接作为底事件；忽略条件事件和禁止事件，导致误判；只画或门不画与门，把冗余系统误判为单点失效；底事件粒度过粗，无法指导维修；以及只做定性分析、不做概率校核，导致改进优先级拍脑袋。

复盘时重点检查三件事：第一，每个底事件是否可检测、可复现、可验证；第二，是否存在被遗漏的共因失效路径，如共用电源、共用搭铁、共用通信总线；第三，最小割集是否与现场故障数据一致。若不一致，应回到建树边界和底事件概率重新校准，而不是直接修改结论。

掌握故障树的基本概念、事件类型、逻辑门符号、建树步骤与定性定量分析基础后，后续章节将进一步展开如何把故障树与 DTC、示波器、总线报文和台架试验结合，完成从“树”到“根因验证”的闭环。