Beitrag zur dynamischen Fehlerbaumanalyse ohne Modulbildungund

3 Problemstellung: Ereignissequenzen in der
FTA ohne Modularisierung
Simplicity is the nal achievement.
(Frédéric Chopin)
3.1 Bedarf
3.1.1 Grundsätzlicher Bedarf an dynamischen FTA
Eines der wesentlichen Ziele der FTA ist der quantitative Nachweis, dass die Ausfallrate und
Ausfallwahrscheinlichkeit eines Systems unterhalb eines Grenzwertes liegt. Die praktische Erfahrung
zeigt, dass in vielen Fällen normative Grenzwerte, z.B. aus Normen wie IEC 61508
oder ISO 26262, nur knapp erreicht werden. Eine dynamische FTA liefert im Vergleich zur herkömmlichen
FTA weniger konservative Ergebniswerte und erleichtert somit die Einhaltung der
quantitativen Ziele. Die Verwendung einer solchen detaillierteren Modellierungsmethode ist dabei
wesentlich glaubwürdiger als die oftmals nur schwerlich begründbare Reduzierung der
verwendeten Eingangs-Ausfalldaten.
Für Systeme mit hohen Sicherheits-Anforderungen ist die klassische qualitative Einzelfehleranalyse
mittels FMEA [9, 78] nicht mehr ausreichend. Hier dient die qualitative FTA in den
zunehmend sehr komplexen Systemarchitekturen auch als Werkzeug für ein systematisches Verständnis
des Zusammenspiels mehrerer Fehler. Sehr ezient lässt sich die Sicherheit gerade
von programmierbaren Systemen erhöhen, indem Schaltbedingungen mit bestimmten Sequenzinformationen
verknüpft werden. Fehl-Aktivierungen werden reduziert, wenn nur bestimmte
Reihenfolgen von Trigger-Ereignissen relevant sind. Oftmals lassen sich solche Sequenzbedingungen
ohne zusätzliche Kosten in hochintegrierten Schaltkreisen integrieren. Eine FTA mit
qualitativer Berücksichtigung dieser Reihenfolgen liefert ein wesentlich aussagekräftigeres Bild
des Systems als die klassische FTA.
An dieser Stelle sei auf Kapitel 6 verwiesen. Dort ist ein Beispielsystem gezeigt, dessen Boolesche
Fehlerbaum-Modellierung nur unpräzise Ergebnisse liefert.
3.1.2 Bedarf an besseren dynamischen FTA
Die in Kapitel 2.3 genannten dynamischen Erweiterungen, insbesondere die zustandsbasierten
Methoden wie die DFT, zielen primär auf die korrekte quantitative Berechnung von Fehlerbäumen.
Kapitel 6.3 zeigt beispielhaft, dass die DFT dieses Ziel erreicht und insofern eine echte
Verbesserung gegenüber der Booleschen FTA darstellt.
19