3. 故障树建模流程与工程规范

故障树分析（FTA）的价值并不取决于图形画得多复杂，而取决于建模过程是否规范、边界是否清晰、假设是否可追溯。一个未经系统定义就匆忙画出的故障树，往往在评审阶段被推翻重来，甚至得出误导性的结论。本节围绕“从系统定义到评审”的完整建模流程，说明每一步应该产出什么、依据什么、如何判断是否合格。

一、系统定义：先弄清“分析对象是什么”

系统定义是建模的起点，其核心是回答三个问题：分析对象的功能是什么、由哪些部分组成、在什么条件下工作。以某型机载电源配电系统为例，其功能是“在正常与应急工况下，向航电负载提供满足电压与电流要求的供电”。系统定义需要明确：

• 功能定义：主功能、辅助功能、冗余功能分别是什么；
• 组成结构：发电机、汇流条、接触器、固态功率控制器（SSPC）、线缆、负载等；
• 工作模式：正常供电、应急供电、地面供电、转换瞬态；
• 成功判据：如“汇流条电压在 26±4 VDC 范围内且纹波不超过 1.5 V”。

成功判据必须可量化、可判定，否则顶事件无法定义。若判据写成“供电正常”，则后续无法判断某条底事件是否导致顶事件发生。

二、顶事件选择：从“不希望发生什么”出发

顶事件是故障树的分析目标，通常选择系统级或分系统级的不希望事件。选择顶事件应遵循三条原则：一是后果严重或发生概率不可忽略；二是可由底事件组合逻辑推导；三是边界内可分析、边界外可假设。对于配电系统，可选顶事件包括“航电负载全部失电”“关键负载失电”“汇流条过压”等。若选择“全部失电”，则需明确是否包含瞬时中断；若包含，则需引入时间判据，如“失电持续时间大于 50 ms”。

三、边界划分与假设记录：让分析可复现

边界划分确定“哪些在树内、哪些在树外”。常见边界包括物理边界（本系统与相邻系统的接口）、功能边界（只分析供电功能，不分析结构强度）、时间边界（只分析飞行阶段，不分析地面维护）、故障边界（只考虑硬件失效，不考虑软件逻辑错误）。边界之外的因素以假设形式记录，例如：

• 假设上游发电机输出正常，其失效不在本树内展开；
• 假设线缆机械损伤概率极低，暂不建模；
• 假设维修人员操作符合手册，不考虑人为差错。

假设必须逐条记录，并说明理由与影响。评审时若发现某条假设不成立，可快速定位需要补充的子树。假设记录建议采用表格形式，包含编号、假设内容、依据、影响范围、复核人。

四、建树步骤：从顶事件向下逐层展开

建树的基本逻辑是“顶事件→中间事件→底事件”，通过逻辑门连接。以“航电负载全部失电”为例，第一层可分解为“主汇流条失电”与“应急汇流条失电”同时发生（与门），或任一汇流条失电且转换失败（或门与与门组合）。继续向下，主汇流条失电可分解为发电机失效、接触器失效、SSPC 失效、线缆断路等。每个中间事件都应能继续分解，直到底事件为止。

建树过程中需注意：逻辑门选择必须与故障机理一致。若两个部件互为冗余，应使用与门；若任一失效即导致上层事件，应使用或门。共因失效（如共用电源、共用冷却、共因软件）应单独建模，避免被冗余结构掩盖。

五、评审要点：让故障树经得起推敲

故障树评审通常从完整性、一致性、可追溯性三个维度展开。完整性检查是否所有中间事件都已分解到底事件，是否存在“悬空”节点；一致性检查逻辑门与故障机理是否匹配，冗余结构是否被正确建模；可追溯性检查每条底事件是否有来源（FMEA、试验数据、手册、历史故障），每条假设是否有记录。

评审中常见的问题包括：把“或门”误用为“与门”导致风险低估；忽略共因失效导致冗余失效概率被低估；底事件粒度不一致，有的到元器件级，有的到功能级；假设未记录，导致后续分析无法复现。建议评审时逐条核对以下清单：

评审通过后，故障树应形成基线版本，后续修改需记录变更原因与影响范围。对于工程应用，建议将故障树与 FMEA、可靠性框图（RBD）交叉验证：若 FMEA 中某失效模式在故障树中找不到对应底事件，说明建树可能遗漏；若故障树中某底事件在 FMEA 中无记录，需补充分析。

在实际项目中，建议先完成系统定义与顶事件选择，再冻结边界与假设，最后集中建树。建树过程中若发现边界或假设需要调整，应回到对应步骤修改并记录，而不是在树中临时“打补丁”。只有流程规范、记录完整，故障树才能作为设计改进、安全性评估与适航符合性证明的有效依据。