FMEA i FTA w bezpieczeństwie funkcjonalnym

Inżynieria lubi proste odpowiedzi, ale bezpieczeństwo funkcjonalne rzadko je oferuje. Kiedy zaczynamy oceniać ryzyko, szybko się okazuje, że jedna metoda analizy nie wystarczy. W praktyce najczęściej korzysta się z dwóch narzędzi: FMEA oraz FTA. Jedno patrzy na świat dedukcyjnie, czyli od awarii do przyczyny, a drugie indukcyjnie, czyli od przyczyny do awarii. Oba próbują odpowiedzieć na pytanie: dlaczego coś może pójść źle i co z tym zrobić?

Żeby zrozumieć, dlaczego te analizy tak się różnią i jednocześnie dobrze się uzupełniają, przejdźmy kolejno przez ich zasady działania, mocne strony, ograniczenia i typowe zastosowania.

Dwa spojrzenia na awarię

FMEA – analiza prowadzona od dołu do góry

FMEA (Failure Modes and Effects Analysis) to metoda indukcyjna. Startujemy od komponentu, sygnału, funkcji lub elementu układu i analizujemy, co się stanie, jeśli dana część zacznie działać nieprawidłowo. W uproszczeniu: bierzemy listę możliwych usterek i zastanawiamy się, jakie będą ich konsekwencje.

Metoda sprawdza się wtedy, kiedy system i jego elementy są już dobrze znane, a projekt jest na tyle zaawansowany, że można opisać tryby awarii części składowych.

FTA – analiza prowadzona od góry do dołu

FTA (Fault Tree Analysis) działa odwrotnie. To metoda dedukcyjna. Zaczynamy od problemu, czyli określonego zdarzenia niepożądanego. Dopiero później analizujemy, jakie kombinacje przyczyn mogły do niego doprowadzić.

To podejście pozwala rozbić skutek na logiczne bloki i sprawdzić, jakie elementy muszą zawieść, by doszło do zdarzenia niepożądanego.

W jakim miejscu procesu projektowego wykorzystuje się FMEA i FTA?

FMEA

FMEA najlepiej stosować na etapie projektowania szczegółowego lub integracji komponentów. Pozwala wykryć słabości konstrukcyjne, problemy materiałowe, niedostatki diagnostyki i inne wady, zanim trafią do fazy testów.

Przykład: Projektujemy układ sterowania hamulcem. FMEA pozwala przeanalizować skutki zacięcia zaworu, awarii czujnika ciśnienia lub utraty szczelności przewodu hydraulicznego.

FTA

FTA stosuje się, kiedy mamy jasno określone zdarzenie niepożądane. Może to być zagrożenie wykryte w analizie ryzyka lub rzeczywista awaria. FTA odwzorowuje logiczną strukturę problemu i pozwala ustalić, które kombinacje błędów prowadzą do sytuacji niebezpiecznej.

Przykład: Analizujemy przypadek, w którym robot przemysłowy uderza człowieka. FTA rozbija to na: błędną detekcję pozycji, brak aktywnej bariery, niewystarczającą diagnostykę lub błąd konfiguracji.

Kogo trzeba zaangażować?

FMEA wymaga znajomości elementów

Wymaga wiedzy o komponentach, ich trybach awarii, danych o niezawodności oraz skutkach usterek. Analizę zwykle prowadzą konstruktorzy, technolodzy i osoby techniczne znające szczegóły działania systemu.

FTA wymaga rozumienia logiki systemu

W FTA ważne są zależności funkcjonalne, przebieg sygnałów i sposób działania zabezpieczeń. Dlatego w analizie często uczestniczą eksperci od bezpieczeństwa funkcjonalnego.

Co można uzyskać z FMEA, a co z FTA?

Co daje FMEA?

• Identyfikację trybów awarii elementów
• Ocenę ich wpływu na system
• Priorytety działań (np. RPN)
• Wskazanie elementów wymagających diagnostyki lub zmian konstrukcyjnych

Co daje FTA?

• Logiczną strukturę prowadzącą do zdarzenia niepożądanego
• Analizę jakościową i ilościową
• Wiedzę o kombinacjach błędów prowadzących do zagrożenia
• Możliwość obliczenia prawdopodobieństwa zdarzenia
• Ocenę skuteczności zabezpieczeń i redundancji

Różnice w podejściu do bezpieczeństwa funkcjonalnego

Systemy o wysokich wymaganiach (SIL, ASIL, PL)

W normach bezpieczeństwa funkcjonalnego FTA jest często wymagana jako dowód, że architektura bezpieczeństwa spełnia wymagania. Pozwala modelować diagnostykę, redundancję i logikę zabezpieczeń.

FMEA natomiast analizuje ryzyko na poziomie komponentów. Pokazuje, jak zawodzi dana część, ale nie modeluje zależności między elementami.

Dedukcja kontra indukcja

FMEA odpowiada na pytanie: co się stanie, jeśli to się zepsuje?

FTA odpowiada na pytanie: co musiałoby się zepsuć, żeby doszło do tego zdarzenia?

Kiedy FMEA zawodzi?

• Gdy zdarzenie wynika z nietypowej kombinacji wielu przyczyn
• Gdy liczy się kolejność zdarzeń
• Gdy interakcje są nieliniowe
• Gdy trzeba ocenić redundancję lub skuteczność zabezpieczeń

Kiedy FTA zawodzi?

• Na bardzo wczesnym etapie projektu
• Gdy system jest ogromny i drzewo robi się zbyt rozbudowane
• Gdy potrzebny jest przegląd trybów awarii komponentów
• Gdy kluczowe są detale konstrukcyjne elementów

Mocne strony obu metod

Zalety FMEA

• Dobra do wykrywania słabości konstrukcji
• Prosta do wykonania
• Daje jasne priorytety ryzyka
• Przydatna w projektowaniu i modernizacjach

Wady FMEA

• Brak perspektywy systemowej
• Trudno ocenić interakcje elementów
• Nie nadaje się do modelowania redundancji

Zalety FTA

• Wykrywa kombinacje błędów
• Pokazuje strukturę przyczyn
• Umożliwia analizę ilościową
• Ocena zabezpieczeń i diagnostyki

Wady FTA

• Wymaga dobrej znajomości systemu
• Może być czasochłonna
• Niepraktyczna przy bardzo dużych systemach
• Zbyt szczegółowa, jeśli potrzebujemy tylko analizy elementów

Jak to wygląda w praktyce w bezpieczeństwie funkcjonalnym?

Współczesne systemy mają warstwę sprzętową i software’ową, często są redundantne i posiadają diagnostykę. Żeby ocenić je zgodnie z SIL, ASIL czy PL, potrzebne są obie analizy.

Typowy scenariusz:

1. FMEA – identyfikujemy tryby awarii elementów.
2. FTA – modelujemy zdarzenia niepożądane i powiązania logiczne.
3. Porównujemy wyniki i oceniamy skuteczność zabezpieczeń.
4. Wdrażamy środki łagodzące na poziomie elementów i systemu.

Bez FMEA nie wiemy, co może się zepsuć. Bez FTA nie wiemy, które usterki prowadzą do realnego zagrożenia.

Podsumowanie

FMEA i FTA to dwa narzędzia, które patrzą na ryzyko w zupełnie różny sposób. FMEA pokazuje, jak zawodzą elementy. FTA pokazuje, jak zachowuje się cały system i jak łączą się przyczyny. W bezpieczeństwie funkcjonalnym te metody się uzupełniają. Jedna mówi, co może się zepsuć, druga mówi, co z tego wynika. Dopiero razem dają pełny obraz ryzyka.