3. 故障树基本符号与建模规范

故障树不是一张随手画的因果草图，而是一套有严格语法约束的图形化逻辑模型。符号用错，顶事件与底事件之间的逻辑关系就会被曲解；命名混乱，评审时没人能看懂某条分支到底在描述什么。本节把符号体系和命名规范放在一起讲，因为二者共同决定了故障树能否被正确计算、被他人复核、被长期维护。

一、事件符号：区分“状态”与“原因”

故障树中的事件符号承担的是“节点语义”的声明。最常用的四类事件符号各有明确边界：

• 顶事件（矩形）：系统级不希望发生的失效状态，是整棵树的输出。例如“液压站输出压力低于 12 MPa 持续 3 s”。顶事件必须可观测、可判定，不能写成“液压系统不可靠”这类无法量化的表述。
• 中间事件（矩形）：由下层事件通过逻辑门组合得到的失效状态，既是某逻辑门的输出，又是更下层逻辑门的输入。它必须是一个完整的失效命题，而不是一个部件名称。
• 底事件（圆形）：建模深度到此为止、不再展开的基本失效。底事件通常对应可获取失效率数据的部件失效模式，如“溢流阀阀芯卡滞”“压力传感器信号漂移超限”。
• 未展开事件（菱形）：因数据缺失或超出分析范围而暂不展开的事件。菱形不是“偷懒符号”，它必须附带说明：为什么未展开、后续由谁补充。否则菱形会成为掩盖分析漏洞的黑洞。

此外还有条件事件（椭圆），用于与禁门配合，表示“某条件成立时该逻辑才生效”。条件事件本身不是失效，而是一个状态前提，这一点在建模时最容易与中间事件混淆。

二、逻辑门符号：与门、或门、禁门、异或门

逻辑门决定了下层事件如何组合成上层事件，是故障树定量计算的骨架。

与门（AND）：所有输入事件同时发生，输出事件才发生。它对应“冗余保护同时失效”这类场景。与门的定性重要度特征是：增加一个输入事件会降低顶事件概率，因此与门下方通常是安全相关设计。

或门（OR）：任一输入事件发生，输出事件即发生。它对应“串联环节任一失效即导致功能丧失”。或门是故障树中最常见的门，也是顶事件概率对底事件最敏感的位置。

禁门（INHIBIT）：输入事件发生且条件事件成立时，输出才发生。禁门与与门的区别在于：与门的输入都是失效事件，而禁门有一个输入是条件而非失效。典型用法是“操作员未在 5 s 内按下急停”作为条件，与“超压信号已触发”共同作用。禁门的使用条件是：该条件必须可独立判定、有明确的时间或状态边界，且不能把条件写成另一个失效事件——否则应改用与门。

异或门（XOR）：仅当输入事件中恰好一个发生时，输出才发生。它适用于互斥或排他性场景，例如“双通道表决系统中仅单通道故障导致输出错误，而双通道同时故障反而进入安全态”。异或门的使用条件很严格：输入事件必须真正互斥或满足“恰好一个”的语义，且不能与或门混用在同一逻辑层。工程中异或门使用频率低，一旦使用必须在文档中注明理由，因为它会显著改变最小割集的求解结果。

三、转移符号：控制图幅，不切断逻辑

当故障树规模较大时，一张图无法容纳全部分支，需要用转移符号把子树引到另一页或另一区域。转移符号分两种：同页转移用三角形表示，指向本页另一位置的子树；跨页转移用带编号的转移对表示，出口与入口编号必须一致且成对出现。转移符号的使用条件是：被转移的子树必须是一个完整的逻辑单元，不能把某个逻辑门的输入拆散到两处。否则读者在追踪最小割集时会丢失路径。

四、命名规范与可读性要求

符号正确只是及格线，命名规范决定故障树能否被复核。建议采用“编号 + 失效命题 + 参数边界”的三段式命名：

E-01  顶事件：液压站输出压力低于 12 MPa 持续 3 s
E-02  中间事件：压力调节功能丧失
E-03  底事件：溢流阀阀芯卡滞（开度 > 5% 持续 2 s）
E-04  底事件：压力传感器信号漂移超限（偏差 > 0.5 MPa）
E-05  未展开事件：比例阀长期磨损数据缺失（待补充）
G-01  逻辑门：E-02 = E-03 OR E-04

命名时有三条硬性要求。第一，事件名必须是完整命题，能判断真假，不能只写“溢流阀”或“传感器”。第二，参数边界必须写进事件名，如“持续 3 s”“偏差 > 0.5 MPa”，否则不同人会对同一事件做出不同判定。第三，编号全局唯一且不跳号，中间事件、底事件、逻辑门分别用不同前缀，便于在最小割集输出中直接定位。

可读性方面，建议同一逻辑门的输入事件按“硬件失效—软件失效—人因—环境”顺序排列，并在图面左侧留出编号列。对于禁门和异或门，应在门旁用简短注释说明使用理由，例如“XOR：双通道表决仅单通道故障时输出错误”。这样评审时无需反复追问建模意图。

把符号、转移和命名三件事同时做对，故障树才从“示意图”变成“可计算、可评审、可维护的工程模型”。后续最小割集求解、重要度分析和共因失效处理，都建立在这一节的规范之上。