Ein deduktives Top‑Down‑Verfahren, das die logischen Kombinationen von Komponentenfehlern, menschlichen Fehlern und externen Ereignissen mittels boolescher Verknüpfungen in einer Baumstruktur darstellt, um Grundursachen zu identifizieren und die minimalen Kombinationen von Basisereignissen zu bestimmen, die ein spezifiziertes oberes (unerwünschtes) Ereignis erzeugen können.

Prinzip

Systemausfälle lassen sich als logische Funktionen niederstufiger Ereignisse darstellen; durch Zerlegung des Top‑Ereignisses in Basisereignisse und Verknüpfung mittels AND/OR‑Gattern identifiziert man minimale Schnittmengen (cut sets), deren Eintreten das Top‑Ereignis verursacht und die als Grundlage für Priorisierung dienen.

Demonstration

Situation: Der Ausfall einer Sicherheitsverriegelung (Interlock) eines chemischen Reaktors wird als Top‑Ereignis definiert — die Verriegelung muss die Zufuhr bei unsicheren Bedingungen unterbrechen. Erkennung: Ingenieure erstellen einen Fehlerbaum, in dem das Top‑Ereignis durch ein ODER‑Gatter in drei unabhängige Zweige zerlegt wird: (A) gleichzeitiger Ausfall beider redundanter Drucksensoren (Sensor1 AND Sensor2), (B) eine Wartungs‑/Bedienerübersteuerung (Controller_Override), und (C) gleichzeitiges Auftreten von Stromausfall und Feststecken‑/Nicht‑Schließen des Ventils (Power_Loss AND Valve_Failure). Formal: Top_Event = (Sensor1 AND Sensor2) OR Controller_Override OR (Power_Loss AND Valve_Failure). Handlung: Aus der booleschen Struktur werden die minimalen Schnittmengen (minimal cut sets) hergeleitet: {Sensor1, Sensor2}, {Controller_Override}, {Power_Loss, Valve_Failure}. Diese Cut‑Sets werden qualitativ und quantitativ bewertet: Felddaten zeigen z. B. degradierte Dichtungen an Ventilantrieben (erhöhtes Risiko für Valve_Failure unter Power_Loss) und Wartungsaufzeichnungen weisen auf gelegentliche Ein‑Personen‑Übersteuerungen hin. Das Team priorisiert daher Maßnahmen gegen die am höchsten bewerteten Cut‑Sets. Folge: Entsprechend werden Maßnahmen umgesetzt: eine unterbrechungsfreie Stromversorgung (USV) und redundante Leistungsüberwachung für die Interlock‑Logik (verringert die Wahrscheinlichkeit von Power_Loss), Austausch und Nachqualifizierung der Ventilantriebe mit Zustandsdiagnostik (verringert Valve_Failure‑Wahrscheinlichkeit), sowie Einführung einer Zwei‑Personen‑Autorisierung und hardwareseitiger Sperre für Wartungsübersteuerungen (beseitigt Controller_Override als einzelnes Cut‑Set). Zusätzlich werden sensorische Diversität und Online‑Diagnostik für die Drucksensoren eingeführt, um das gemeinsame Versagen von Sensor1 und Sensor2 zu reduzieren. Nach Umsetzung lassen sich die berechneten Beiträge der einzelnen minimalen Schnittmengen zur Top‑Ereigniswahrscheinlichkeit nachweisenlich reduzieren, sodass die FTA das spezifizierte Top‑Ereignis in kausal nachverfolgbare und priorisierbare Gegenmaßnahmen überführt.

Fehlanwendung

Den FTA als vollständig anstatt als modellbasiert zu behandeln — z. B. zu schließen, dass das Fehlen eines minimalen Schnittsets die Unmöglichkeit des Top‑Ereignisses beweist — ist ein Fehler. Der semantische Fehler besteht darin, die modellierte Logik mit vollständiger Realität abzuleiten; FTAs hängen von den eingeschlossenen Basisereignissen und Annahmen ab.

Konsequenz

Richtig angewandt macht FTA kausale Ketten transparent, ermöglicht quantitative Wahrscheinlichkeitsaussagen (wenn Raten bekannt sind) und lenkt Maßnahmen zu Redundanz und Instandhaltung. Fehlanwendung kann trügerische Sicherheit erzeugen, wenn wichtige Ausfallmodi, Abhängigkeiten oder Ausfälle durch gemeinsame Ursachen ausgelassen werden oder wenn Unabhängigkeit fälschlich angenommen wird.

Umkehrung

Die boolesche Struktur ist weniger geeignet, wenn Ausfälle komplexe, zeit‑ oder zustandsabhängige Interaktionen aufweisen, die sich nicht durch statische Logikgatter abbilden lassen (z. B. Softwarelogik, die nicht als unabhängige Basisereignisse modellierbar ist) oder wenn Abhängigkeiten dominieren; dann sind dynamische Fehlerbäume, Markov‑Modelle oder simulationsbasierte Ansätze erforderlich.

Abgrenzung

Klar innerhalb: Analyse von Hardware‑Sicherheitssystemen, in denen Komponentenfehler und einfache logische Beziehungen überwiegen. Randfall: Systeme mit Softwaresteuerung und zeitabhängigen Wechselwirkungen — FTA kann Strukturbeziehungen darstellen, jedoch Zeitverhalten nur mit Erweiterungen. Klar außerhalb: Emergente soziotechnische Ausfälle, die vor allem auf organisatorische Prozesse und latente Bedingungen zurückgehen und sich nicht in binäre Basisereignisse zerlegen lassen.

Semantische Spannung

Modellvollständigkeit ↔ Analytische Handhabbarkeit: Mehr Ereignisse und Abhängigkeiten erhöhen die Realitätsnähe, erschweren jedoch die Analyse; vereinfachende Annahmen (Unabhängigkeit, binäre Zustände) machen die Analyse beherrschbar, können aber kritische gemeinsame Ursachen ausschließen.

Synthese

FTA übersetzt ein spezifiziertes unerwünschtes Ereignis in minimale logische Ursachen; ihr Nutzen hängt von Modelltreue, Behandlung von Abhängigkeiten und der Einsicht ab, wann dynamische oder probabilistische Darstellungen erforderlich sind. Verwenden Sie FTA als geordnetes Denkwerkzeug zur Priorisierung, nicht als abschließenden Beweis.