フォールトツリー分析

フォールトツリー解析（FTA ）は、システムの望ましくない状態を調査するタイプの障害解析です。この解析方法は、システムがどのように故障するかを理解し、リスクを軽減する最善の方法を特定し、安全事故または特定のシステムレベル（機能）の故障のイベント率を決定（または感覚をつかむ）するために、主に安全工学と信頼性工学で使用されます。FTAは、航空宇宙、^[1]、原子力、化学およびプロセス、^{[2] [3] [4]、}製薬、^[5]、石油化学などの高危険産業で使用されていますが、社会サービスシステムの故障に関連するリスク要因の特定のなど、さまざまな分野でも使用されています。 ^[6] FTAは、ソフトウェアエンジニアリングのデバッグの目的でも使用されており、バグの検出に使用される原因排除手法と密接に関連しています。

航空宇宙分野では、より一般的な用語である「システム障害状態」が、フォールト ツリーの「望ましくない状態」/トップ イベントに使用されます。これらの状態は、その影響の重大度によって分類されます。最も深刻な状態には、最も広範なフォールト ツリー分析が必要です。これらのシステム障害状態とその分類は、多くの場合、機能的ハザード分析で事前に決定されています。

フォールトツリー分析は次のような目的で使用できます。^{[7] [8]}

• 最上位のイベント/望ましくない状態につながるロジックを理解します。
• （入力）システムの安全性/信頼性要件への準拠を示します。
• 最重要イベントにつながる要因を優先順位付けし、重要度に応じて重要な機器/部品/イベントのリストを作成します。
• 複雑なシステムの安全性能を監視および制御します(例: 燃料バルブxが故障した場合、特定の航空機は安全に飛行できますか? バルブが故障した状態で飛行できる時間はどれくらいですか?)。
• リソースを最小限に抑え、最適化します。
• システムの設計を支援します。FTA は、(出力/下位レベルの)要件の作成に役立つ設計ツールとして使用できます。
• トップイベントの原因を特定して修正するための診断ツールとして機能します。診断マニュアル/プロセスの作成に役立ちます。

フォールトツリー解析（FTA）は、もともと1962年にベル研究所のHAワトソンによって、米国空軍 弾道システム部門の契約に基づき、ミニットマンI 大陸間弾道ミサイル（ICBM）発射管制システムの評価のために開発されました。 ^{[9] [10] [11] [12]}フォールトツリーの使用はそれ以来広く支持され、信頼性の専門家によって故障解析ツールとしてよく使用されています。^[13] 1962年のミニットマンI発射管制安全性研究でFTAの使用が初めて公表された後、ボーイングとAVCOは1963年から1964年にかけてFTAの使用をミニットマンIIシステム全体に拡大しました。FTAは、ボーイングとワシントン大学がスポンサーとなってシアトルで開催された1965年のシステム安全性シンポジウムで広く取り上げられました。^[14]ボーイングは1966年頃から民間航空機の設計にFTAを使い始めました。^{[15] [16]}

その後、米軍では、 1960年代から1970年代にかけてピカティニー兵器廠でFTAのヒューズへの応用が検討された。 ^[17] 1976年に米陸軍資材司令部は信頼性設計に関するエンジニアリング設計ハンドブックにFTAを組み込んだ。^[18]ローマ研究所の信頼性分析センターとその後継組織である国防技術情報センター（信頼性情報分析センター、現在は国防システム情報分析センター^[19]）は、1960年代からFTAと信頼性ブロック図に関する文書を発行している。^{[20] [21] [22]}より最近の参考資料はMIL-HDBK-338Bである。^[23]

1970年、米国連邦航空局（FAA）は、連邦官報35 FR 5665（1970-04-08）で、輸送カテゴリの航空機に対する14 CFR 25.1309耐空性規則の変更を発表しました。この変更により、航空機システムと機器の故障確率基準が採用され、民間航空でFTAが広く使用されるようになりました。1998年、FAAは命令8040.4 ^{[24]を発行し、航空}交通管制や米国国家航空システムの近代化など、航空機認証以外の重要な活動の範囲でハザード分析を含むリスク管理ポリシーを確立しました。これにより、さまざまな種類の正式なハザード分析でのFTAの使用について説明したFAAシステム安全ハンドブックが発行されました。^[25]

アポロ計画の初期には、宇宙飛行士を月に送り、地球に無事帰還させる確率が問われていた。何らかのリスク、または信頼性の計算が行われ、その結果、ミッション成功確率は許容できないほど低かった。この結果により、NASA は1986 年のチャレンジャー号事故後まで、それ以上の定量的なリスクまたは信頼性分析を控えることになった。代わりに、NASA は、システム安全性評価に故障モード影響解析 (FMEA)やその他の定性的な手法を利用することにした。チャレンジャー号事故後、システムリスクと信頼性分析における確率的リスク評価(PRA) と FTAの重要性が認識され、NASA での使用が増え始め、現在では FTA は最も重要なシステム信頼性と安全性分析手法の 1 つと見なされている。^[26]

原子力産業では、米国原子力規制委員会が1975年にFTAを含むPRA手法の使用を開始し、1979年のスリーマイル島事故以降PRA研究を大幅に拡大しました。^[27]これは最終的に1981年にNRCフォルトツリーハンドブックNUREG–0492 ^[28]の出版につながり、NRCの規制権限の下でPRAの義務的使用につながりました。

1984年のボパール災害や1988年のパイパーアルファ爆発などのプロセス産業の災害を受けて、1992年に米国労働省 労働安全衛生局（OSHA）は連邦官報57 FR 6356（1992-02-24）でプロセス安全管理（PSM）規格19 CFR 1910.119を公表しました。^{[29] OSHA PSMは、FTAを}プロセスハザード分析（PHA）の許容可能な方法として認めています。

現在、FTA はシステムの安全性と信頼性のエンジニアリング、およびすべての主要なエンジニアリング分野で広く使用されています。

FTA方法論は、原子力産業向けのNRC NUREG–0492、NASAが使用するNUREG–0492の航空宇宙向け改訂版、^{[26]民間航空宇宙向けの} SAE ARP4761 、軍事システム向けのMIL–HDBK–338、業界横断的な使用を目的としており欧州規格EN 61025として採用されているIEC規格IEC 61025 ^[30]など、いくつかの業界および政府規格に記載されています。

十分に複雑なシステムは、1 つ以上のサブシステムの障害により故障する可能性があります。ただし、システム設計を改善することで、故障の可能性を減らすことができます。フォールト ツリー解析では、システム全体のロジック図を作成することで、障害、サブシステム、冗長な安全設計要素の関係をマッピングします。

望ましくない結果は、ロジック ツリーのルート (「トップ イベント」) として扱われます。たとえば、金属打ち抜きプレス操作の望ましくない結果は、人間の手足が打ち抜かれることであると考えられます。このトップ イベントから逆方向に作業を進めると、これが発生する可能性があるのは、通常操作中またはメンテナンス操作中の 2 つの場合であると判断される可能性があります。この条件は論理 OR です。通常操作中に発生する危険の分岐を考慮すると、これが発生する可能性があるのは、プレスがサイクルしてオペレーターに危害を加えるか、プレスがサイクルして他の人に危害を加えるかの 2 つの場合であると判断される可能性があります。これもまた論理 OR です。オペレーターが 2 つの別々のボタンを押してマシンをサイクルするように要求することで、設計を改善できます。これは、論理 AND 形式の安全機能です。ボタンには固有の故障率がある可能性があり、これが分析可能な障害刺激になります。

フォルト ツリーに実際の故障確率の数値がラベル付けされている場合、コンピューター プログラムはフォルト ツリーから故障確率を計算できます。特定のイベントが複数の効果イベントを持つことが判明した場合、つまり複数のサブシステムに影響を与える場合、それは共通原因または共通モードと呼ばれます。図で言えば、このイベントがツリー内の複数の場所に現れることを意味します。共通原因は、イベント間の依存関係を導入します。いくつかの共通原因を含むツリーの確率計算は、すべてのイベントが独立していると見なされる通常のツリーよりもはるかに複雑です。市販されているすべてのソフトウェア ツールがこのような機能を備えているわけではありません。

ツリーは通常、従来の論理ゲートシンボルを使用して記述されます。カット セットは、トップ イベントを引き起こすイベント (通常はコンポーネント障害) の組み合わせです。トップ イベントを引き起こすことなくカット セットからイベントを削除できない場合、そのカット セットは最小カット セットと呼ばれます。

一部の業界では、フォールト ツリーとイベント ツリーの両方を使用しています(確率的リスク評価を参照)。イベント ツリーは、望ましくないイニシエーター (重要な電源の喪失、コンポーネントの故障など) から始まり、一連の最終的な結果に至るまで、さらに起こり得るシステム イベントをたどります。新しいイベントが検討されるたびに、ツリーに新しいノードが追加され、いずれかの分岐を取る確率が分割されます。最初のイベントから発生するさまざまな「トップ イベント」の確率を確認できます。

古典的なプログラムには、米国の多くの原子力発電所や米国および世界の航空宇宙メーカーの大多数で使用されている電力研究所（EPRI）のCAFTAソフトウェアや、米国政府が原子炉、スペースシャトル、国際宇宙ステーションの安全性と信頼性を評価するために使用しているアイダホ国立研究所のSAPHIREなどがあります。米国外では、ソフトウェアRiskSpectrumがフォルトツリーおよびイベントツリー分析の一般的なツールであり、確率的安全性評価のために世界の原子力発電所の60％以上で使用が認可されています。プロフェッショナルグレードの無料ソフトウェアも広く入手可能です。SCRAM ^[31]は、確率的安全性評価アプリケーション用のオープンスタンダードで あるOpen-PSAモデル交換フォーマット^[32]を実装したオープンソースツールです。

FTA で使用される基本シンボルは、イベント、ゲート、転送シンボルとしてグループ化されています。FTA ソフトウェアでは、若干のバリエーションが使用される場合があります。

イベント シンボルは、プライマリ イベントと中間イベントに使用されます。プライマリ イベントは、フォールト ツリー上でそれ以上展開されません。中間イベントは、ゲートの出力にあります。イベント シンボルを以下に示します。

• 
  基本イベント
• 
  外部イベント
• 
  未開発イベント
• 
  コンディショニングイベント
• 
  中間イベント

主なイベント シンボルは通常、次のように使用されます。

• 基本イベント - システム コンポーネントまたは要素の障害またはエラー (例: スイッチが開位置で動かなくなる)
• 外部イベント – 通常発生することが予想される（それ自体は障害ではない）
• 未開発のイベント – 十分な情報が得られない、または重要でないイベント
• 条件付けイベント – 論理ゲートを制限または影響を与える条件（例：有効な動作モード）

中間イベント ゲートをプライマリ イベントのすぐ上に使用して、イベントの説明を入力するためのスペースを増やすことができます。

FTA はトップツーボトムのアプローチです。

ゲート シンボルは、入力イベントと出力イベントの関係を表します。シンボルはブール論理シンボルから派生しています。

• 
  ORゲート
• 
  ANDゲート
• 
  排他的論理和ゲート
• 
  優先ANDゲート
• 
  禁止ゲート

ゲートは次のように動作します。

• OR ゲート – いずれかの入力が発生すると出力が発生します。
• AND ゲート - すべての入力が発生した場合にのみ出力が発生します (入力はソースから独立しています)。
• 排他的 OR ゲート - 入力が 1 つだけ発生した場合にのみ出力が発生します。
• 優先 AND ゲート - 条件イベントによって指定された特定の順序で入力が発生した場合に出力が発生します。
• 禁止ゲート - 条件付けイベントによって指定された有効な条件下で入力が発生した場合に出力が発生します。

転送シンボルは、サブシステムの故障木からそのシステムへの故障木など、関連する故障木の入力と出力を接続するために使用されます。NASAは実際の事故を通じてFTAに関する完全な文書を作成しました。^[26]

• 
  転送
• 
  転出

フォールト ツリー内のイベントは、統計的 確率またはポアソン指数分布定数率に関連付けられます。たとえば、コンポーネントの障害は通常、一定の障害率λ (一定のハザード関数) で発生します。この最も単純なケースでは、障害確率は率 λ と露出時間 t に依存します。

${\displaystyle P=1-e^{-\lambda t}}$

どこ：

${\displaystyle P\approx \lambda t}$もし${\displaystyle \lambda t<0.001}$

フォールト ツリーは、飛行時間や平均ミッション時間などの特定の時間間隔に正規化されることがよくあります。イベントの確率は、イベント ハザード関数とこの間隔の関係によって決まります。

入力と出力がTRUE (1) または FALSE (0) のバイナリ値を保持する従来の論理ゲートダイアグラムとは異なり、フォールト ツリーのゲートはブール論理の集合演算に関連する確率を出力します。ゲートの出力イベントの確率は、入力イベントの確率によって決まります。

AND ゲートは、独立したイベントの組み合わせを表します。つまり、AND ゲートへの入力イベントの確率は、同じゲートへの他の入力イベントの影響を受けません。集合論的に言えば、これは入力イベント セットの交差に相当し、AND ゲートの出力の確率は次のように表されます。

P (A と B) = P (A ∩ B) = P(A) P(B)

一方、OR ゲートは集合の結合に対応します。

P (A または B) = P (A ∪ B) = P(A) + P(B) - P (A ∩ B)

故障木の故障確率は小さい（0.01未満）傾向があるため、P（A∩B）は通常非常に小さな誤差項となり、ORゲートの出力は入力が相互に排他的なイベントであるという仮定を使用して保守的に近似することができます。

P (A または B) ≈ P(A) + P(B)、P (A ∩ B) ≈ 0

2 つの入力を持つ排他的 OR ゲートは、両方の入力ではなく、どちらか一方の入力が発生する確率を表します。

P (A xor B) = P(A) + P(B) - 2P (A ∩ B)

繰り返しになりますが、P (A ∩ B) は通常非常に小さな誤差項となるため、排他的 OR ゲートは故障木では限られた値しか持ちません。

多くの場合、ポアソン指数分布率^[33]は、確率の代わりにフォールトツリーを定量化するために使用されます。率は多くの場合、時間に対して一定としてモデル化されますが、確率は時間の関数です。ポアソン指数イベントは無限に短いものとしてモデル化されるため、2 つのイベントが重複することはできません。OR ゲートは、ポアソン点過程としてモデル化された 2 つの入力故障頻度または故障率の重ね合わせ (率の加算) です。AND ゲートの出力は、1 つのイベントの非可用性 (Q ₁ ) を使用して、他のイベントのポアソン点過程 (λ ₂ ) を薄くして計算されます。次に、他のイベントの非可用性 (Q ₂ ) により、最初のイベントのポアソン点過程 (λ ₁ ) が薄くなります。結果として得られる 2 つのポアソン点過程は、次の式に従って重ね合わせられます。

AND ゲートの出力は、AND ゲートへの独立した入力イベント 1 と 2 の組み合わせです。

故障頻度 = λ ₁ Q ₂ + λ ₂ Q ₁ ただし、λt < 0.001の場合、Q = 1 - e ^-λt ≈ λt

故障頻度 ≈ λ ₁ λ ₂ t ₂ + λ ₂ λ ₁ t ₁ (λ ₁ t ₁ < 0.001 および λ ₂ t ₂ < 0.001の場合)

フォールト ツリーでは、非可用性 (Q) は安全な操作が不可能な状態として定義される場合があり、フォールト ツリーの構造によってはシステム操作が不可能な状態を指していない場合があります。フォールト ツリーへの入力用語は慎重に定義する必要があります。

FTA をモデル化するにはさまざまなアプローチを使用できますが、最も一般的で人気の方法は、いくつかの手順にまとめることができます。単一のフォールト ツリーを使用して、1 つの望ましくないイベントのみを分析し、その後、それを基本イベントとして別のフォールト ツリーに取り込むことができます。望ましくないイベントの性質は大きく異なる場合がありますが、FTA は、電力生成の 0.25 ミリ秒の遅延、検出されていない貨物室の火災、またはICBMのランダムで意図しない発射など、あらゆる望ましくないイベントに対して同じ手順に従います。

FTA 分析には 5 つのステップが含まれます。

1. 調査する望ましくないイベントを定義します。
   • 望ましくないイベントの定義は、発見するのが非常に難しい場合がありますが、一部のイベントは非常に簡単に観察でき、明白です。システムの設計について幅広い知識を持つエンジニアは、望ましくないイベントの定義と番号付けを支援するのに最適な人物です。望ましくないイベントは、FTA の作成に使用されます。各 FTA は、望ましくないイベントを 1 つに制限します。
2. システムを理解します。
   • 望ましくないイベントが選択されると、その望ましくないイベントに影響を及ぼす確率が 0 以上のすべての原因が調査および分析されます。イベントにつながる確率の正確な数値を取得することは、非常にコストがかかり、時間がかかる可能性があるため、通常は不可能です。確率の調査にはコンピュータ ソフトウェアが使用されます。これにより、システム分析のコストが削減される可能性があります。
     システム アナリストは、システム全体の理解に役立ちます。システム設計者はシステムに関する完全な知識を持っており、この知識は、望ましくないイベントに影響を及ぼす原因を見逃さないために非常に重要です。選択されたイベントのすべての原因に番号が付けられ、発生順に並べられてから、次のステップであるフォールト ツリーの描画または構築に使用されます。
3. 故障ツリーを構築します。
   • 望ましくないイベントを選択し、システムを分析し、原因となるすべての影響 (および可能であればその確率) を把握したら、フォールト ツリーを構築できます。フォールト ツリーは、フォールト ツリーの主な特性を定義する AND ゲートと OR ゲートに基づいています。
4. 故障木を評価します。
   • 特定の望ましくないイベントについてフォルトツリーが組み立てられた後、改善の可能性について評価および分析されます。言い換えれば、リスク管理を研究し、システム改善の方法を見つけます。幅広い定性的および定量的分析方法を適用できます。^[34]このステップは、特定された危険を制御する最終ステップの導入です。つまり、このステップでは、直接的または間接的にシステムに影響を与える可能性のあるすべての危険を特定します。
5. 特定された危険を制御します。
   • このステップは非常に具体的であり、システムごとに大きく異なりますが、主なポイントは常に、危険を特定した後、発生の可能性を減らすためにあらゆる可能な方法が追求されることです。

FTAは演繹的、トップダウンの手法であり、複雑なシステムにおける初期障害やイベントの影響を分析することを目的とします。これは、単一コンポーネントまたは機能障害が装置またはサブシステムに与える影響を分析することを目的とした帰納的、ボトムアップの分析手法である故障モード影響分析（FMEA）とは対照的です。FTAは、システムが単一または複数の初期障害に対してどの程度耐性があるかを示すのに非常に優れています。すべての可能性のある初期障害を見つけるのは得意ではありません。FMEAは、初期障害を徹底的にカタログ化し、それらの局所的な影響を特定するのに優れています。複数の障害やその影響をシステムレベルで調査するのは得意ではありません。FTAは外部イベントを考慮しますが、FMEAは考慮しません。^[35]民間航空宇宙では、通常、FTAとFMEAの両方を実行し、 FMEAとFTAのインターフェイスとして故障モード影響サマリー（FMES）を使用します。

FTA の代替として、信頼性ブロック図(RBD)とも呼ばれる依存性図(DD)やマルコフ分析などがあります。依存性図は、FTA の論理的逆である成功ツリー分析 (STA) に相当し、ゲートの代わりにパスを使用してシステムを描写します。DD と STA は、トップ イベントの確率ではなく、成功の確率 (つまり、トップ イベントの回避) を生成します。

ウィキメディア・コモンズには、故障木図に関連するメディアがあります。

• イベントツリー分析
• 故障モードと影響分析
• 石川ダイアグラム
• 信頼性工学
• 根本原因分析
• 安全工学
• システムの安全性
• なぜ-なぜ分析