Beitrag zur dynamischen Fehlerbaumanalyse ohne Modulbildungund

10 2 Stand der Technik: Statische und dynamische Fehlerbaumanalyse
Die genannten Quellen stammen vor allem aus dem Umfeld der (nuklearen) Anlagentechnik.
Sie betonen daher neben der expliziten Berücksichtigung von zeitlichen Abhängigkeiten auch
die Betrachtung der Human Reliability Analysis (HRA) [45] als weiteren wichtigen Teil einer
dynamischen ZSA. Die HRA spielt jedoch in der Automobilindustrie heute keine vergleichbare
Rolle. Gründe hierfür sind
1. die bevorzugte Auslegung sicherheitskritischer Systeme als Fail Safe Systeme bzw. das
Fehlen echter Fail Operational Systeme [46],
2. das Fehlen menschlicher Operatoren, die das Systemverhalten auch im Störfall direkt
beeinussen, und
3. das Fehlen von Inspektions-, Wartungs- und Reparatur-Teams, wie sie aus der Anlagenoder
Luftfahrtindustrie bekannt sind.
Es wird erwartet, dass die HRA für die Bewertung der funktionalen Sicherheit automotiver
Systeme zukünftig wichtiger wird, insbesondere auf Grund der zunehmenden Integration hochspannungstechnischer
Anlagenelemente in Elektro- und Hybrid-Fahrzeugen sowie der Zusammenführung
von aktiver Sicherheit und Fahrerassistenzsystemen.
Zweitens existieren spezielle Ansätze zur dynamischen ZSA mittels MoCaS auch in der Automobiltechnik.
So berücksichtigt z. B. [24] über zeitabhängige Ausfalldaten den Einuss dynamischer
Systemänderungen auf das Ausfallverhalten. Auf Grund des vergleichsweise hohen
Aufwandes sind diese Ansätze jedoch Nischen-Lösungen und eignen sich (noch) nicht für den
ächendeckenden Einsatz.
2.3.3 Dynamische FTA Verschiedene Umsetzungen
Im Folgenden konzentriert sich diese Arbeit zur dynamischen FTA auf das Verständnis von
Dynamik als Möglichkeit der Abbildung von Ereignissequenzen.
Typischerweise handelt es sich bei den bisherigen Ansätzen zu Erweiterungen der FTA um
Dynamik-Eekte entweder um eine (automatische) Überführung des Fehlerbaum-Modells in ein
Markov-Modell mit anschlieÿender Lösung des resultierenden Dierentialgleichungssystems oder
um eine Simulation.
Der weithin bekannte DFT-Ansatz [37] basiert auf einer Modularisierung des Fehlerbaums in
statische und dynamische Module, die anschlieÿend mittels Binary Decision Diagrams (BDD)
[47, 48] und Markov-Ketten berechnet werden. Statische Module bestehen ausschlieÿlich aus
Booleschen Gattern und Ereignissen, während dynamische Module zusätzlich auch dynamische
Gatter enthalten. Mit diesen lassen sich Eekte wie Reihenfolgen, kalte, warme, heiÿe Redundanzen
oder Trigger-Ereignisse erfassen. Abbildung 2.2 zeigt die wesentlichen Schritte dieser
Vorgehensweisen im Vergleich zur herkömmlichen, statischen FTA.
DFT sind in einer Vielzahl von Fehlerbaum-Programmen in unterschiedlicher Vollständigkeit
umgesetzt, z. B. in DIFTree [49] oder Galileo [38] sowie in einer Reihe kommerzieller FTA-Tools
wie Isograph Faulttree+ [50], ITEM Toolkit [51] oder RELAX Reliability Studio [52]. DFT
werden zudem in der neueren Version des Faulttree Handbook erwähnt [31].
Einen ähnlichen Ansatz verfolgt [53], wobei anstelle der Erstellung und Berechnung der
Markov-Ketten Dynamic Bayesian Networks zur Anwendung kommen, welche den Berechnungsaufwand
reduzieren.
Eine andere Alternative in [54] verwendet zur Lösung der DFT Module modizierte BDD, die
sogenannten zero-suppressed binary decision diagrams und bringt anstelle von Markov-Ketten