4. 软件FTA项目启动与范围定义

好，咱们进入FTA最核心的一环——定性分析。说白了，就是找出“哪些故障组合在一起，会导致顶上事件发生”。我个人觉得，这一步比定量计算更有价值，因为很多安全漏洞，你根本不需要精确的概率，光看组合逻辑就知道它有多危险。

4.1 最小割集的定义

先讲概念。割集，就是一组底事件的集合。只要这组底事件同时发生，顶上事件就必然发生。那最小割集呢？就是不能再精简的割集——去掉任何一个底事件，它就不再是割集了。

举个例子。假设系统崩溃的条件是：内存泄漏 且 CPU过载，或者 磁盘写满。那么割集有：{内存泄漏, CPU过载}、{磁盘写满}、{内存泄漏, CPU过载, 磁盘写满}。但最小割集只有两个：{内存泄漏, CPU过载} 和 {磁盘写满}。第三个是冗余的，去掉磁盘写满，前两个仍然能导致崩溃。

4.2 最小割集的求解方法

求解方法主要有两种：下行法和上行法。我习惯用下行法，因为它直观，适合手工推导。

4.2.1 下行法（Fussell-Vesely算法）

思路很简单：从顶上事件开始，从上往下走。遇到与门，就把子事件排成一行；遇到或门，就把子事件排成一列。一直走到所有节点都是底事件为止。

我画个流程图，你一看就明白。

具体步骤我总结一下：

1. 初始化：把顶上事件作为第一行。
2. 逐层替换：遇到与门，把子事件横向展开（同行）；遇到或门，把子事件纵向展开（换行）。
3. 去重：去掉重复的行。
4. 吸收：如果某行是另一行的子集，去掉超集行。

4.2.2 上行法（Semanderes算法）

上行法是从底事件往上推。用布尔代数表达式表示每个中间事件，然后逐层代入顶上事件，最后化简成“积之和”形式。每个“积”就是一个最小割集。

还是上面那个例子：

M1 = A + B
M2 = C + D
T = M1 · M2
  = (A + B) · (C + D)
  = A·C + A·D + B·C + B·D

结果一样，四个最小割集。

方法	优点	缺点	适用场景
下行法	直观，适合手工推导	树大时容易遗漏	小型故障树（<50个底事件）
上行法	适合编程实现	布尔化简繁琐	大型故障树（工具辅助）

4.3 最小割集在软件安全分析中的意义

你可能会问，搞出这些最小割集有什么用？我告诉你，意义非常大。

第一，定位最薄弱的环节。 如果一个最小割集只包含一个底事件，那这个事件就是单点故障。只要它发生，系统就完蛋。这种事件必须优先处理。

第二，指导测试用例设计。 每个最小割集都是一条测试路径。你想想看，如果覆盖了所有最小割集，就等于覆盖了所有导致系统失效的方式。我在做安全测试时，经常把最小割集清单直接转成测试用例矩阵。

第三，评估安全加固效果。 修复一个漏洞，本质上就是消除一个或多个最小割集。修复后重新跑一遍FTA，看最小割集数量有没有减少，深度有没有增加。

4.4 定性分析的工程应用

定性分析不只是理论推导，它在工程中有一整套落地方法。

4.4.1 最小割集排序

按底事件数量排序：

• 一阶割集（1个底事件）：最危险，单点故障。
• 二阶割集（2个底事件）：需要两个条件同时满足，风险中等。
• 高阶割集（3个及以上）：需要多个条件，风险相对较低。

我一般把一阶和二阶割集列为“必须修复”项，三阶以上列为“视情况修复”。

4.4.2 结构重要度分析

结构重要度，就是看某个底事件在多少个最小割集中出现。出现次数越多，它就越重要。

计算公式很简单：

I(i) = 包含底事件i的最小割集数量 / 最小割集总数

举个例子，如果总共有10个最小割集，底事件A出现在8个里面，那它的结构重要度就是0.8。这个底事件必须重点防护。

4.4.3 工程实践步骤

我总结了一套工程实践流程，供你参考：

1. 建立故障树：与领域专家一起，把顶上事件逐层分解到底事件。
2. 求解最小割集：用下行法或工具求解。
3. 排序与筛选：按阶数和结构重要度排序，筛选出高风险割集。
4. 制定修复策略：对每个高风险割集，至少消除其中一个底事件。
5. 验证修复效果：重新跑FTA，确认最小割集数量和结构重要度下降。

嗯，这里要注意，第4步不是让你把所有底事件都修掉。很多时候，你只需要在一条割集中打断一个环节，整条路径就断了。这就是FTA的“断链”思想。

4.4.4 常见误区

我踩过几个坑，分享给你：

• 误区一：只关注一阶割集。 二阶割集虽然需要两个条件，但如果这两个条件在现实中很容易同时满足（比如同一个模块的两个函数），那风险其实很高。
• 误区二：忽略共因失效。 两个底事件看似独立，但可能共享同一个底层原因（比如同一个第三方库的漏洞）。这种情况要合并处理。
• 误区三：割集数量多就认为系统不安全。 不一定。如果所有割集都是高阶的（比如5阶以上），那系统其实很安全，因为同时触发5个条件的概率极低。