1、故障树分析概述：FTA的起源、发展历程、在信号系统中的应用价值

1.1 什么是故障树分析？——从一次现场事故说起

我记得刚入行那会儿，跟着师傅去处理一起信号系统故障。那是个雨夜，某站的道岔就是扳不动。我们查了整整四个小时，从继电器查到电缆，从电缆查到联锁机，最后发现——居然是一颗松动的螺丝钉，卡住了转辙机的动作杆。

师傅当时说了句话，我到现在还记得：「故障就像一棵树，你看到的只是叶子，根在地下埋着呢。」

这就是故障树分析（FTA）最朴素的思想。说白了，FTA 是一种自上而下的演绎式分析方法。我们从一个不希望发生的事件（顶事件）出发，一层层往下推，找出所有可能导致它发生的原因组合。

你想想看，如果当时我们手里有一张故障树图，从「道岔无法转换」这个顶事件开始，往下分：是机械卡阻？还是电气故障？还是联锁条件不满足？一层层拆解下去，那颗螺丝钉根本藏不住。

1.2 FTA的起源——从导弹到地铁

FTA 最早不是给信号系统用的。1961年，美国贝尔实验室的沃森（H.A. Watson）在为「民兵」导弹发射控制系统做安全性评估时，首次提出了故障树的概念。那时候美苏冷战正酣，导弹可不能出半点差错。

到了1965年，波音公司把 FTA 正式推广开来，开始用于民用航空领域。我查过当年的资料，波音工程师们用故障树分析了一架飞机的起落架收放系统，发现了好几个之前没注意到的隐患点。

真正让 FTA 在铁路信号领域大放异彩的，是欧洲的铁路安全标准。上世纪90年代，EN 50126、EN 50128、EN 50129 等一系列标准出台，明确要求信号系统必须进行定量的安全性分析。FTA 作为核心工具，就这么被请进了信号工程师的工具箱。

我个人习惯把 FTA 的发展分成三个阶段：

1.3 为什么信号系统离不开FTA？

信号系统有个特点：它本身不出事，但一出事就是大事。你想想，一个联锁系统的错误输出，可能导致两列火车在同一条轨道上相向而行。这种后果，谁也承担不起。

所以信号系统必须做安全性分析。而 FTA 在这件事上，有几个不可替代的优势：

• 系统性：FTA 不是头痛医头脚痛医脚，它把整个系统串起来看。一个继电器故障，可能只是表象，根因可能在电源模块，也可能在接地设计。
• 逻辑性：用与门、或门这些逻辑符号，把故障原因之间的关系画得清清楚楚。是「同时发生」还是「任一发生」，一目了然。
• 定量能力：只要给每个底事件一个失效率，就能算出顶事件的发生概率。这在做 SIL（安全完整性等级）评估时，是硬指标。

1.4 一个简单的例子：道岔控制电路

光说不练假把式。我们来看一个最简单的例子——道岔控制电路。

假设顶事件是「道岔无法转换到定位」。往下拆：

• 要么是控制电路没电（或门）
• 要么是转辙机机械卡阻（或门）
• 要么是联锁条件不满足（与门，需要同时满足多个条件）

再往下，「控制电路没电」可以继续拆：是电源故障？还是电缆断线？还是继电器触点接触不良？

你看，这么一层层拆下去，最后会得到一张树状图。每个叶子节点，都是一个可以独立检测或维修的底事件。

1.5 FTA在信号系统中的典型应用场景

根据我这些年的项目经验，FTA 在信号系统中主要用在以下几个地方：

1. 联锁系统安全性评估：分析联锁逻辑是否完备，有没有漏掉危险侧输出。
2. ATP（列车自动防护）系统：分析超速防护、紧急制动等安全功能是否可靠。
3. 轨旁设备可靠性分析：信号机、转辙机、轨道电路等设备的故障模式分析。
4. 系统级安全完整性等级（SIL）分配：用 FTA 计算各子系统的安全指标，确保整体满足 SIL 4 要求。

嗯，这里要注意一点。FTA 不是万能的。它擅长分析「已知的已知」——也就是那些我们已经知道可能发生的故障模式。对于「未知的未知」，比如一种全新的故障机理，FTA 就无能为力了。这时候需要结合 FMEA（故障模式与影响分析）一起用。

1.6 避坑指南：新手常犯的三个错误

我带过不少新人，发现他们在做 FTA 时，容易掉进这几个坑里：

• 坑一：顶事件定义太模糊。「系统故障」这种顶事件，没法往下拆。顶事件必须具体、可测量。比如「列车在区间内非正常停车」就比「系统故障」好得多。
• 坑二：逻辑门用错。该用与门的地方用了或门，或者反过来。这会导致分析结果完全错误。我建议画完树之后，找同事交叉审核一遍逻辑关系。
• 坑三：底事件粒度不一致。有的底事件拆到螺丝钉级别，有的底事件还停留在板卡级别。这样算出来的概率，误差会很大。

好了，关于 FTA 的概述就讲到这里。下一章我们会深入讲解故障树的符号体系、建树步骤，以及如何用布尔代数进行定性分析。到时候我会拿一个真实的信号系统案例，带着大家一步步画出一棵完整的故障树。