20 世纪 60 年代早期,执行风险和可靠性评估的方法起源于美国航空航天和导弹计划。故障树分析就是这样一个例子,在 60 年代中期非常流行。在阿波罗计划早期,人们提出了成功将宇航员送上月球并安全返回地球的概率问题。进行了某种风险或可靠性计算,结果是任务成功概率低得令人无法接受。这一结果使 NASA 直到 1986 年挑战者号事故发生后才开始进行进一步的定量风险或可靠性分析。相反,NASA 决定依靠故障模式和影响分析 (FMEA) 和其他定性方法进行系统安全评估。挑战者号事故发生后,人们意识到 PRA 和 FTA 在系统风险和可靠性分析中的重要性,其在 NASA 的使用开始增长。
本书主要关注的是故障树技术,这是一种获取系统信息的系统方法。* 这样获得的信息可用于决策,因此,在我们定义系统分析之前,我们将对决策过程进行简要检查。决策是一个非常复杂的过程,我们将仅强调有助于将系统分析置于适当背景下的某些方面。据推测,我们做出的任何决定都是基于我们对当前情况的现有了解。这些知识部分来自我们对相关情况的直接经验或类似情况的相关经验。我们的知识可以通过适当的测试和对结果的适当分析来增加,即通过实验。在某种程度上,我们的知识可能基于推测:这将取决于我们的乐观或悲观程度。例如,我们可能确信“在这个最好的世界中,一切都是最好的。”或者,相反,我们可能相信墨菲定律:“如果任何事情可能出错,它就会出错。”因此,知识可以通过多种方式获得,但在绝大多数情况下,不可能获得所有相关信息,因此几乎不可能消除所有不确定因素。可以假设一个虚构的世界,在收集所有相关信息之前不会做出任何决定。这与日常世界相去甚远,在日常世界中,我们是根据时间而不是我们知识的完整性来做出决定的。我们都有最后期限要满足。此外,由于在必须做出决策时通常不可能拥有所有相关数据,因此我们根本无法知道选择采取特定行动的所有后果。图 1-1 提供了这些考虑因素的示意图。
60 摘要:故障树在系统的可靠性和安全性分析中起着主导作用。手动构建故障树是一项非常耗时的任务,而且它不会给出正式的结果,因为它高度依赖于分析师的经验和启发式方法。这就需要计算机化的故障树构建,这仍然吸引着可靠性分析师的兴趣。AFTC 软件是一种用户友好的软件模型,用于基于决策表构建故障树。软件配备了各种核电站 (NPP) 系统中常用组件的决策表库。用户需要根据可用的流程图制作要构建故障树的系统的节点图。文本节点图是定义系统流程图的唯一输入。AFTC 软件是一个基于规则的专家系统,它从系统流程图和组件决策表中绘制故障树。AFTC 软件以文本和图形格式提供故障树。提供有关如何输入系统流程图和组件决策表的帮助。该软件是用 C 语言开发的。软件通过印度 PHWR 消防水系统的简化版本进行验证。将进行代码转换以创建基于窗口的版本。
抽象的发射车系统是使用遗产和新硬件设计和开发的。对遗产硬件的设计修改以适合新的功能系统要求可能会影响遗产可靠性数据的适用性。新设计系统的风险估计必须是从通用数据源(例如使用可靠性预测方法)(例如在MIL-HDBK-217F中涉及的方法)开发的。必须将故障估计值从通用环境转换为使用系统的特定操作环境。此外,应将数据源适用于当前系统的某些资格。在这种情况下表征数据适用性对于开发模型估算至关重要,这些模型估算支持对设计变化和贸易研究的自信决策。本文将展示一种基于原始数据的源和操作环境,建议对目标车辆的认知成分不确定性,以展示一种数据源适用性分类方法。使用启发式准则确定源适用性,而操作环境的翻译是通过将统计方法应用于MIL-HDK-217F表来完成的。
图 11-5: Hz_LLR_01 故障树 .............................................................................................. 108 图 11-6: Hz_LLR_05a 故障树 .............................................................................................. 113 图 11-7: Hz_LLR_05b 故障树 .............................................................................................. 116 图 11-8: Hz_LLR_010a 故障树 ............................................................................................. 120 图 11-9: Hz_LLR_010b 故障树 ............................................................................................. 123 图 11-10: Hz_LLR_015 故障树 ............................................................................................. 127 图 11-11: Hz_LLR_20 故障树 ............................................................................................. 129 图 11-12: Hz_LLR_50 故障树 ............................................................................................. 132 图 11-13: Hz_LLR_55 故障树 .............................................................................................. 138 图 11-14:Hz_LLR_60 故障树 .............................................................................................. 142 图 11-15:Hz_LLR_065 故障树 .............................................................................................. 146 图 11-16:Hz_LLR_70 故障树 ...................................................................................................... 148 图 17:总体安全论证 ............................................................................................................. 155 图 18:考虑不同生命周期阶段的安全论证结构和
我们描述了一种形式化的系统理论方法,用于创建网络物理系统 (CPS) 风险叠加,以增强 CPS 风险和威胁分析过程中使用的现有基于树的模型。这种自上而下的方法通过分析其底层控制属性以及相关内部硬件和软件子组件之间的通信流,客观地确定系统对某些风险场景后果的威胁面。在使用攻击和故障树模型时,结果分析应有助于定性选择因果事件,这些模型传统上是使用主观和自下而上的方法进行此事件选择。使用经过验证的系统理论方法客观地确定基于树的模型分析的范围也应该可以改善系统开发生命周期中的防御和安全规划。我们提供了一个使用攻击防御树的控制系统案例研究,并展示了如何将这种方法简化为攻击树、故障树和攻击故障树。
Seungwon Noh(博士生)、John F. Shortle(博士)、乔治梅森大学、弗吉尼亚州费尔法克斯 摘要 正在开发综合安全评估模型 (ISAM),为国家空域系统提供基线风险评估,并评估拟议变更的安全影响。ISAM 中的因果风险模型是事件序列图 (ESD) 和故障树的混合模型,代表事故和事件场景。ISAM 包含数千个参数。本文根据几个重要性指标评估了这些参数在模型中的重要性,以确定最重要的参数。根据事故频率和死亡频率,对单个 ESD 以及所有 ESD 的枢轴事件和底层故障树事件进行分析。
第一部分以可靠性建模为中心,特别是故障树(FT)模型的自动推断。传统上,基于图形的模型(例如FTS)是通过系统专家和FT Mod-Ellers之间的迭代协作手动构建的。但是,这种手动方法容易出现人为错误,可能导致模型不完整。随着数据可用性的增加,试图自动化此过程的方法论,发现模式并减少对手动干预的依赖性已获得显着相关性。因此,在本文的第一部分中,我们关注如何以强大而可扩展的方式从失败数据集中获取有效而紧凑的故障树模型。
为了实现更高性能,安全关键系统变得越来越大、越来越复杂。因此,对这些系统进行建模和评估可能很困难且容易出错。在现有的安全模型中,故障树分析 (FTA) 是一种众所周知的方法,其图形结构易于理解。这项研究提出了一种新方法,该方法使用机器学习 (ML) 和实时数据来理解自然行为。然后,如果对行为模型的引用存在问题,该方法将尝试在错误树中找到错误的描述,然后将该信息分享给接听电话的人。如果故障树无法解释情况,则有许多不同的建议,包括纠正故障树,具体取决于情况的性质。决策树用于此目的。通过采矿业的假设示例证明了所提出方法的有效性。