Академический Документы
Профессиональный Документы
Культура Документы
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C 1025 90
4844891 0101145 T
i -
Les renseignements relatifs ce travail de rvision, l'tablissement des ditions rvis6cs et aux mises jour peuvent tre obtenus auprs des Comits nationaux de la CE1 et en consultant les documents ci-dessous:
BdietindelaCEI huairedela CE1 Catalogue des publications de la C E I Publi annuellement
Terminologie
~n ce qui concerne ia teminoiogie gnraie, ie i&= se reptera la Publication 50 de la C E I : V o c a b u l a i r e Electrotechnique International 0, qui est tablie sous fome de cha ! % & l'Index gnral pitres spars traitant chacun d'un sujet d tant publi sparment. Des dtails complets sur le VEI peuvent tre obtenus sur demande.
Terminology
For general temiliology, readers are referred to I E C Publication 50: Intemational Electmtechnical V o c a b u l a r y (IEV), which is issued in the form of separate chapters each dealing e with a specific field, the General Index being published as a s parate booklet. Full details of the IEV will be supplied on request. The terms and definitions contained in the present publication r o m the IEV or have been specifically have either been taken f approved for the purpose of this publication.
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Les termes et dfinitions figurant dans la prsente publication ont t soit repris du VEZ, soit spcifiquement approuvs aux fns de cette publication.
Les symboles et signes contenus dans la prsente publication ont t soit repris des Publications 2 7 ou 617 de la C E I , soit spcifiquement approuvs aux fins de cette publication.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
IEC 1025 90
= 4844893
0101146 1
~-
O CEI i990
C O D E PRIX 'PRICE C O D E
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
-.2
1025 0 CE1
SOMMAIRE
Pages
AVANT-PROPOS
Articles
....................................................................................
8 8
8
8 10 10 10 10 12 12 12 14 14
Gnralits ......................................................................................................................................
5.1 5.2 5.3
........................................................................................ .............................................................................................................................
...............................................................................................
............
Principes
6.1 6.2 6.3 6.4
.............................................................
...................................................................................................... ........................................................................................................
16 16 16 16 16 22 28 30 34
Approfondissement de la connaissance du systme ................................................. Identificationde l'vnement de tte ............................................................................ Construction de l'arbre de panne valuation de l'arbre de panne
.................................................................................. ......................................................................................
......................
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
1025 0 IEC
-3-
CONTENTS
Page
FOREWORD .............................................................................................................................................
INTRODUCTION
Clause
5 7
.....................................................................................................................................
1
2 3
Scope
4
5
9 9
9
9 11 11 11 11 13 13 13 15 15 17 17 17 17 17 23
...........................................................................................................................................
0
........................................................................................................... ......................................................................................................................... ....................................................................................................................... Principles ........................................................................................................................................ 6.1 General considerations ............................................................ .......................................
Fault tree structure Objectives Applications
..............................................................................................................
35
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C LO5 90
4844891 0101149 7
AVANT-PROPOS
1) Les dcisions ou accords officiels de la CE1 en ce qui concerne les questions techniques, prpars par des Comits d'Etudes o sont reprsents tous les Comits nationaux s'intressant ces questions, expriment dans la plus grande mesure possible un accord international sur les sujets examins.
2) Ces dcisions constituent des recommandations internationales et sont agres comme telles par les
Comits nationaux.
3) Dans le but d'encourager l'unification internationale, ia CE1 exprime le voeu que tous les Comits nationaux adoptent dans leurs rgles nationales le texte de la recommandation de la CEI, dans la mesure o les conditions nationales le permettent. Toute divergence entre la recommandation de la CE1 et la Rgle nationale correspondante doit, dans la mesure du possible, tre indique en termes clairs dans cette dernire.
La prsente norme internationale a t tablie par le Comit d'Etudes no 56 de la CEI: Fiabilit et mdntenabilit. Le texte de cette norme est issu,des documents suivants:
Rapport de voie
Rapport de vote
56(BC)121
56(BC)12Q
56(BC)139
L'annexe A, Symboles, est normative et fait partie intgrante de la prsente norme internationale.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Les rapports de vote indiqus dans le tableau ci-dessus donnent toute information sur les votes ayant abouti l'approbation de cette norme.
IEC 1025 90
= Y8YY891 0101150 3
~~
1025 @ IEC
-5-
FOREWORD
i) The formal decisions or agreements of the IEC on technical matters, prepared by Technical Committees on which all the National Cornmittees having a special interest therein are represented, express, as nearly as possible, an international consensus of opinion on the subjects dealt with. 2) They take the form of recommendations for international use and they are accepted by the National Committees in that sense.
3) In order to promote international unification, the IEC expresses the wish that all National Committees should adopt the text of the IEC recommedation for their national rules in so far as national conditions will permit. Any divergence between the IEC recommendation and the corresponding national rules should, as far as possible, be clearly indicated in the latter.
This International Standard has been prepared by IEC Technical Committee No. 56: Reliability and Maintainability. The text of this standard is based on the following documents:
Report on Voting
56(C0)129
Report on Voting
56(C0)139
Full information on the voting for the approval of this standard can be found in the Voting Reports indicated in the above table.
Annex A: Symbols, is normative and forms an integral part of this International Standard.
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
.~
I E C 1025 90
4844891 0101152 7
1025 0 IEC
-7-
INTRODUCTION Several analytical methods of dependability analysis are available, of which fault tree analysis (FTA) is one. The purpose of each method and their individual or combined applicability in evaluating the reliability and availability of a given system or component should be examined by the analyst before starting the FTA. Consideration should also be given to the results available from each method, data required to perform the analysis, complexity of analysis, and other factors identified in this standard.
I
Fault tree analysis is concerned with the identification and analysis of conditions and factors which cause or contribute to the occurrence of a defined undesirable event, usually one which significantly affects system perormance, economy, safety or other required characteristics. FTA i s offen applied to the safety analysis of systems.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Domaine dapplication
La prsente Norme internationale contient une description de lanalyse par arbre de panne ainsi que quelques directives sur son application:
en dfinissant les principes de base; en fournissant la procdure suivre pour raliser une analyse;
en spcifiant les hypothses appropries, les vnements et les modes de dfaillance; en indiquant les rgles de reprage et les symboles.
Rfrences normatives
Les normes suivantes contiennent des dispositions qui, par suite L.? la rfL;ence qui y est faite, constituent des dispositions valables pour la prsente Norme internationale. Au moment de la publication, les ditions indiques taient en vigueur. Toute norme est sujette rvision et les parties prenantes aux accords fonds sur la prsente Norme internationale sont invites rechercher la possibilit dappliquer les ditions les plus rcentes des normes indiques ci-aprs. Les membres de la CE1 et de IISO possdent le registre des Normes internationales en vigueur actuellement. CE1 50(191): 1990, Vocabulaire Electrotechnique International (VEI), Chapitre 19 I : SUretB de fonctionnement et qualit de service. CE1 617-12: 1983, Symboles graphiques pour schmas, Douzime partie: Oprateurs logiques binaires.
Dfinitions
Les termes et les dfinitions sont conformes au Vocabulaire Electrotechnique International (VEI), Chapitre 191.
Symboles
La reprsentation de larbre de panne requiert lutilisation dun ensemble cohrent de symboles, de repres et de Iibells. Les rgles dtailles sont donnes dans larticle 8 et dans lannexe A.
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C 1,025 90
m 4844891, 01,01,1,54O m
1025 0 IEC
1 Scope
This International Standard describes fault tree analysis, and gives guidance on its application, as follows:
by defining basic principles; by providing the steps necessary to perform an analysis; by identifying appropriate assumptions, events and failure modes; by providing identification rules and symbols.
Normative references
The following standards contain provisions which, through reference in this text, constitute provisions of this International Standard. At the time of publication, the editions indicated were valid. All standards are subject to revision, and parties to agreements based on this International Standard are encouraged to investigate the possibility of applying the most recent editions of the standards listed below. Members of IEC and IS0 maintain registers of currently valid International Standards.
IEC 50(191): 1990, International Electrotechnical Vocabulary (IEV), Chapter 197: Dependability and quality of service. IEC 617-12: 1983, Graphical symbols for diagrams, Part 12: Binary logic elements.
Definitions
Terms and definitions are in accordance with International Electrotechnical Vocabulary (IEV), Chapter 191.
Symbols
The graphical representation of the fault tree requires that symbols, identifiers and labels be used in a consistent manner. The detailed rules are given in clause 8 and annex A.
I
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
- 105
1025 0 CE1
Gnralits
Structure de l'arbre de panne
5.1
L'arbre de panne constitue une repr-sentation graph,+e organ.;e des conditions ou G A facteurs produisant ou contribuant produire un vnement indsirable appel d v nement de tete. Cette reprsentation est tablie sous une forme comprhensible, analysable et, si ncessaire, modifiable pour faciliter l'identification: des facteurs influant sur la fiabilit et sur les caractristiques fonctionnelles du systme, par exemple modes de panne des composants, erreurs humaines, conditions ambiantes, erreurs dans le logiciel; - des impratifs ou des spcifications incompatibles qui peuvent nuire au fonctionnement du systme; - des vnements communs influant sur plus d'un composant fonctionnel et qui pourraient annuler le bnfice apport par les redondances spcifiques. L'analyse par arbre de panne est essentiellement une mthode d'analyse dductive qui a pour but de faire apparatre les causes ou les combinaisons de causes qui peuvent produire l'vnement de tete dfini. Cette analyse est surtout qualitative bien qu'elle puisse aussi tre quantitative dans certains cas (voir 7.5.2).
5.2
Objectifs
L'analyse par arbre de panne s'entreprend, seule ou combine une autre analyse de suret de fonctionnement, pour plusieurs raisons. Il s'agit entre autres: de rechercher toutes les causes et les combinaisons de causes conduisant A l'vnement de tete; de dterminer si une des caractristiques de fiabilit du systme est conforme un impratif prescrit; - de prouver que les hypothses faites au cours d'autres analyses propos de l'indpendance des systmes et de la non prise en compte de certaines dfaillances se vrifient; d'identifier le(les) facteur@) qui a (ont) les consquences les plus nfastes sur une caractristique de fiabilit ainsi que les modifications ncessaires pour amliorer cette caractristique;
5.3
L'arbre de panne est particulirement adapt l'analyse de systmes complexes constitus de plusieurs sous-systmes dpendants ou entre lesquels existent des relations fonctionnelles et dont les performances satisfont des objectifs divers. Cela est d'autant plus vrai lorsque la conception du systme suppose la collaboration de nombreuses quipes de concepteurs spcialiss. On peut citer, parmi les systmes courammed soumis des analyses par arbre de panne, les centrales nuclaires, les avions, les systmes de communication, les procds chimiques et autres procds industriels, etc.
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
- 11 -
General
Fault tree structure
5.1
The fault tree itself i s an organized graphical representation of the conditions or other factors causing or contributing to the occurrence of a defined undesirable event, referred to as the "top event". The representation is in a form which can be understood, analyzed and, as necessary, rearranged to facilitate the identification of: factors affecting the reliability and performance characteristics of the system, for example component fault modes, operator mistakes, environmental conditions, software faults; conflicting requirements or specifications which may affect reliable performance;
common events affecting more than one functional component, which could cancel the benefits of specific redundancies. Fault tree analysis is basically a deductive (top-down) method of analysis aimed at pinpointing the causes or combinations of causes that can lead to the defined top event. The analysis is mainly qualitative but, depending on certain conditions, it may also be quantitative (see 7.5.2).
5.2
Objectives
There are several reasons for performing a fault tree analysis independently of, or in conjunction with, other dependability analyses. These include:
the identification of the causes or combinations of causes leading to the top event;
the demonstration that assumptions made in other analyses, regarding the independence of systems and non-relevance of failures, are not violated; the determination of the factor(s) which most seriously affect a particular reliability measure and the changes required to improve that measure;
5.3
The fault tree is particularly suited to the analysis of complex systems comprising several functionally related or dependent subsystems with different performance objectives. This is especially true whenever the system design requires the collaboration of many specialized technical design groups. Examples of systems to which fault tree analysis is commonly applied include nuclear power generating stations, aeroplanes, communication systems, chemical and other industrial processes, etc.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
the determination of whether a particular system reliability measure meets a stated requirement;
- 126 6.1
1025 O CE1
Prlnclpes
Considrations gnrales
II est recommand de commencer construire larbre de panne ds ,as premiers stades de la conception. Le dveloppement de larbre de panne refltera les progrs de la conception et permettra de mieux comprendre les modes de panne au fur et mesure de ia conception. Lanalyse concomitante de la conception permet de modifier la conception du systme trs t6t quand on dtecte les modes de panne importants. Beaucoup darbres de panne complets sont grands, ce qui ncessite lemploi dun ordinateur. II existe des logiciels qui facilitent lanalyse. II convient de remarquer que les vnements ports sur larbre de panne ne se limitent pas des pannes de logiciels ou des pannes de matriel. Ces vnements comprennent en effet toutes les conditions ou tous les facteurs qui ont un rapport avec lvnement de tete correspondant au systme tudi. Si lon veut employer de manire efficace larbre de panne comme mthode danalyse dun systme, il faut respecter au moins les tapes suivantes:
dfinir la porte de lanalyse; se familiariser avec la conception, les fonctions et la marche du systme; dfinir lvnement de tete; construire larbre de panne; analyser la logique de larbre de panne; faire un rapport sur les rsultats de lanalyse.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Si lon envisage deffectuer une analyse numrique, il faut dfinir une technique dvaluation numrique. En plus des tapes dcrites plus haut, il faudra choisir les donnes utiliser et procder un calcul numrique des caractristiques de fiabilit.
6.2
Structure du systme
Tout systme sera dfini en dcrivant sa fonction et en tablissant ses interfaces. Cette dfinition devra comporter les lments suivants:
les limites du systme, comme les interfaces lectriques, mcaniques et fonctionnelles. Ces limites dpendront de linteraction et des interfaces avec dautres systmes et devront tre dcrites en identifiant les fonctions particulires, par exemple lalimentation lectrique et les pices, par exemple fusible, qui constituent les interfaces; - la structure matrielle du systme, par opposition sa structure fonctionnelle;
.
- lidentification des modes de fonctionnement et une description du fonctionnement du systme ainsi que de ses performances, prvues ou acceptables, pour chaque mode de fonctionnement;
- les conditions relatives lenvironnement du systme et les aspects humains pertinents, etc; - une liste des documents prendre en compte, par exemple, dessins, spcifications,
manuels de fonctionnement, qui contiennent une description dtaille de la conception et du fonctionnement du matriel. La dure des missions, les intervalles entre les
1025 0 IEC
- 13-
6
6.1
The development of the fault tree should start early in the system design stage. The growth of the fault tree should be such that it reflects the progress of the design. Thus an increased understanding of the. fault modes will be obtained as the design proceeds. The "analysis concurrent with design" allows for early systems design change as significant fault modes are identified. Many final fault trees will be large, in which case a computer may be needed to handle them. Software is available to facilitate analysis. It is important to note that fault tree events are not confined solely to software or hardware faults, but include all conditions or other factors which are relevant to the top event for the system concerned.
In order to use the fault tree technique effectively as a method for system analysis, the procedure shall consist of at least the following steps:
definition of the scope of the analysis; familiarization with the design, functions, and operation of the system; definition of the top event; construction of the fault tree; analysis of the fault tree logic; reporting on results of the analysis.
If a numerical analysis is planned, it will be necessary to define a technique for numerical assessment. The selection of the data to be used and numerical evaluation of the reliability measures are additional requirements.
6.2
System structure
Each system should be defined by a description of the system function and by an identification of the system interfaces. Such a definition should include:
the boundaries of the system, such as electrical, mechanical and operational interfaces; such boundaries will be governed by the interaction and interfaces with other systems and should be described by identifying the particular functions, for example power supply, and parts, for example fuse, which form the interfaces;
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
the identification of operational modes together with a description of system operation and the expected or acceptable performance in each operational mode;
a list of applicable documents, for example drawings, specifications, operating manuals, which give details of the equipment design and operation. Task duration, time interval between (periodic) tests, as well as time available for corrective maintenance
- 14-
1025 0 CE1
essais (priodiques), le temps disponible pour les actions de maintenance corrective, devront tre connus ainsi que le matriel auxiliaire et le personnel ncessaires. Des informations spcifiques sur les procdures d'exploitation prescrites pour chaque phase de fonctionnement seront galement fournies. En plus de ce qui prcde, il est recommand de fournir une liste des symboles, des repres, des conventions et des formats des fichiers de donnes de faon que la structure et la description de l'arbre de panne puissent, si ncessaire, tre changes entre ordinateurs.
6.3
Evnements tudis
Les vnements dus toutes sortes de causes doivent tre ports sur l'arbre. Ces causes incluront les effets de toutes les conditions de l'environnement ou d'autres conditions auxquels pourra tre soumise l'entit, y compris ceux que l'on peut rencontrer pendant le fonctionnement, mme s'ils ne sont pas prvus dans les spcifications relatives la conception. Lorsque ce sera ncessaire, on tiendra compte, dans l'arbre de panne, des effets des erreurs humaines et des insuffisances du logiciel de commande et de surveillance de l'tat du systme. Les vnements que l'analyste a tudis mais qu'il a carts pour la suite de l'analyse parce que considrs comme ne devant pas tre pris en compte, devront tre signals mais non ports sur l'arbre de panne dfinitif. Si l'arbre de panne rvle un problme d une panne existante, l'vnement qui correspond cette panne devra tre port sur l'arbre de panne. II devra tre signal comme tant un vnement qui s'est dj produit. C'est ce que l'on fait pour considrer l'effet et l'ordre de pannes multiples. 6.4
Principes gnraux
L'laboration de l'arbre de panne commence par la dfinition de l'vnement de tte. Cet vnement de tte est l'vnement de sortie de la porte du sommet de l'arbre, alors que les vnements d'entre correspondants se rapportent des causes et des conditions possibles de l'apparition de l'vnement de tte. Chaque vnement d'entre peut, luimme, tre un vnement de sortie d'une porte se trouvant un niveau infrieur. Si l'vnement de sortie d'une porte se rapporte l'chec d'une fonction, les vnements d'entre correspondants peuvent tre des pannes du matriel ou des limitations des performances de ce m6me matriel. Si l'vnement de sortie dsigne une panne du matriel, les vnem'ents d'entre correspondants peuvent tre des pannes du matriel, la perte des commandes et l'absence des principales alimentations, si c'est applicable et si ces vnements ne sont pas dj compris dans les limitations des peiformances. L'laboration d'un arbre de panne s'achve lorsque au moins l'un quelconque des types d'vnements suivants a t atteint:
- vnements de base, c'est--dire vnements indpendants dont les caractristiques prendre en compte peuvent tre dfinies par d'autres moyens qu'un arbre de panne;
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
IEC 1025 90
= 4844893 0301160 b H
-.
1025 0 IEC
- 15-
actions should be known, as should the support equipment and personnel involved. . Specific information on prescribed operating during each operational phase is also , required. In addition to the above, it is recommended to prepare a list of symbols, identification markings, conventions, and formats for data files, when necessary in a machine-readable form to permit the fault tree structure and description to be exchanged between computers.
6.3
Events considered
Events arising from all causes shall be.included in the fault tree. Such causes should include the effects of all environmental or other conditions to which the item might be subjected including those which are possible during operation, even if outside the design specification.
Where relevant, fault trees should take into account the effects of mistakes and of deficiencies in computer software including that used for control and status monitoring.
Events which the analyst has considered, but excluded from further analysis as not applicable, should be documented but not included in the final fault tree.
If the fault tree highlights a system performance problem caused by an existing fault, then the event describing that fault should be included in the fault tree. It should be marked as an event which already exists. This should be done in order to consider the effect and order of multiple faults.
6.4
Approaches
I
Fault tree development starts with the definition of the top event. The top event is the output of the top gate, while the corresponding input events identify possible causes and conditions for the occurrence of the top event. Each input event may itself be an output event of a lower level gate.
If the output event of a gate defines the inability to perform of a function, the corresponding input events could be hardware faults or performance limitations. If the output event defines a hardware fault, the corresponding input events could be hardware faults, lack of control and essential supplies, if applicable and not already included as part of the performance limitations.
The development of a particular fault tree branch terminates after any one or more of the following have been reach6d:
basic events; .e. independent events for which the relevant characteristics can be defined by means other than a fault tree;
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
, I E C 1025 90
m 4844891
.- 16-
O101161 8
1025OCEI
vnements qui nont pas besoin, selon lanalyste, dtre dvelopps plus avant pour le moment; vnements qui ont t ou seront dvelopps plus avant dans un autre arbre de panne. Un vnement qui fait lobjet dune tude plus pousse dans un autre arbre de panne devra avoir le mme repre que lvnement correspondant dans lautre arbre de panne de sorte que le deuxime arbre soit bien le prolongement du premier.
Procdures
Lanalyse par arbre de panne est effectue par tapes. Les tapes particulires suivies pour un systme donn peuvent ne pas tre exactement les mmes que celles qui sont suivies pour dautres systmes. Cependant, les tapes prsentes ci-aprs sont des tapes fondamentales que lon doit retrouver dans toutes les analyses par arbre de panne.
7.1
Porte de lanalyse
Pour dfinir la porte de lanalyse, il convient de prciser quel est le systme analyser, lobjectif et ltendue de lanalyse ainsi que les hypothses de base. II est recommand dinclure dans ces hypothses celles qui concernent les conditions prvues de fonctionnement et de maintenance ainsi que le fonctionnement du systme dans toutes les conditions dutilisation possibles.
7.2
Pour russir une analyse par arbre de panne, il faut avoir une connaissance approfondie du systme. Cependant, certains systmes sont trop complexes pour quune seule personne puisse en prendre pleinement connaissance. Dans ce cas, pour se familiariser avec le systme, les analystes doivent acqurir les connaissances spcifiques ncessaires et les incorporer comme il convient lanalyse par arbre de panne. Les informations dont on aura besoin pour ce faire sont numres en 5.2. .
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Les arbres de panne peuvent tre disposs soit verticalement soit horizontalement. Si lon choisit la disposition verticale, il convient que lvnement de tte soit plac en haut de la page et les vnements de base en bas. Dans le cas dune prsentation horizontale, lvnement de tte peut tre situ gauche ou droite de la page.
D
Deux exempies (voir figures 1 et 2) permettent dillustrer la manire dont un arbre de panne est labor et reprsent. Les symboles utiliss pour ces exemples comprennent:
une case comportant le libell de lvnement; un symbole logique utilis pour reprsenter les liaisons entre vnements (portes);
1025 0 IEC
- 17-
events which have been or will be developed further in another fault tree; if an event is developed further such an event must bear the same identification as the corresponding event on the other fault tree so that the latter tree effectively forms a continuation of the former.
Procedures
Fault tree analysis proceeds in steps. The specific steps followed for a particular system may not be exactly the same as those followed for another system. However, the following 1 fundamental steps shall be common to all fault tree analyses.
7.1
Scope of analysis
The definition of the scope should include the definition of the system to be analyzed, the purpose and extent of the analysis and the basic assumptions made. These assumptions should include those related to the expected operating and maintenance conditions as well as to system performance under all possible conditions of use.
7.2
System familiarization
In order that a fault tree analysis may be carried out successfully, a detailed knowledge of the system is required. However, some systems may be too complex to be understood fully by one person. In this case, the process of familiarization requires that the ne.cessary specialized knowledge be obtained and incorporated as appropriate into the fault tree analysis. The information necessary is noted in 5.2.
7.3
The top event is the focus of the entire analysis. Such an event may be the onset or existence of a dangerous condition, or the inability of the system to provide a desired performance. The top event should be defined in measurable units, whenever possible. 7.4 7.4.1
Fault tree construction Fault tree format
Fault trees may be drawn either vertically or horizontally. If the vertical arrangement is used, the top event should be at the top of the page and the basic events at the bottom. If the horizontal arrange.ment is used,'the top event may be on the left or right of the page.
Two examples (see figures 1 and 2) are used to show the development and representation of a fault tree. Symbols used in these examples include:
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
- 18une ligne dentre des portes; un symbole de report diffr (cause commune); un symbole de report; un symbole de fin dinformation (par exemple vb.iement de base).
1025 0 CE1
Sur la figure 1, lvnement A ne se produit que si les vnements 6 et C ont lieu. Lvnement C arrive si lun des vnements D ou E est survenu,
I D i
21
NOTE Les informations quil convient dinscrire pour chaque vnement A, B, etc., dans la case de libell de lvnement sont:
Si un vnement correspond une cause commune, il appara,, au w e a u de larbre de panne sous forme dun ensemble dvnements. Ces vnements sont lis tous les vnements sur lesquels ils influent. Tous les vnements communs de cet ensemble doivent possder le mme code et tre dsigns par un symbole de report, sauf lvnement de lensemble se trouvant au niveau le plus bas, qui est reprsent par le symbole report diffr. Si larbre de panne est form de plusieurs sous-arbres, un vnement correspondant une cause commune et apparaissant dans deux sous-arbres ou plus doit tre reprsent de la faon suivante: Ivnement doit tre indiqu par un symbole de fin dinformation ou, sil est plus dvelopp ailleurs, par un symbole de report differ& dans un seul sous-arbre; dans. le sous-arbre o le symbole de fin dinformation ou de porte est utilis, lapparition dun vnement de cause commune dans les autres sous-arbres doit tre signal par un symbole de report.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
1025O IEG
-19-
gate input connection line; transfer-out symbol (common cause); transfer-in symbol; terminating symbol (for example basic event).
In figure 1, event A will occur only if both events B and C occur. Event C is present if either event D or E occurs.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
NOTE
For each event, A, B, etc., information to be included in the event description box includes
--
If the fault tree is presented in several sections, an event representing a common cause which appears on two or more of the sections shall be treated as follows:
the event shall be marked with a terminating symbol or, if further developed, with a transfer-out gate symbol on only one of the sections;
on the section where the terminating or gate symbol is used, the occurrence of the common event on other sections shall be indicated by a transfer-in gate symbol.
-20-
1025 0CE1
La figure 2 illustre un arbre de panne comportant des indications se rapportant une cause commune. L'vnement B est un vnement de cause commune qui est dvelopp plus avant dans un autre arbre de panne. L'vnement D est un vnement de base.
NOTE - Les informations qu'il convient d'inscrire pour chaque vnement A, B, etc., dans la case de libell de l'vnement sont:
Figure 2 - Exemple d'un arbre de panne comportant des indications se rapportant la cause commune
7.4.2
Technique de construction
Les documents fournis l'appui des analyses de sret de fonctionnement seront prsents de sorte que l'on puisse revoir les rsultats et incorporer toute modification juge utile du fait de changement dans la conception et dans la procdure d'exploitation ou d'une meilleure comprhension des caractristiques physiques de la dfaillance. Pour cela, il faut que la construction puisse &re effectue de faon systmatique. Une approche systmatique implique la comprhension de deux concepts et leur emploi cohrent. II s'agit des concepts de ncause immdiaten et d'unit de base.. Le concept de *cause immdiaten ncessite que l'analyste' dtermine les causes immdiates ncessaires et suffisantes B l'apparition d'un vnement de tete. II y a lieu de noter qu'il ne s'agit pas des causes de base de l'vnement mais des causes immdiates ou des mcanismes immdiats qui ont conduit l'vnement. Les causes immdiates, ncessaires et suffisantes, d'un vnement de tete sont maintenant traitees comme des vnements situs directement en-dessous 'de l'vnement de tte, et l'analyste cherche dterminer leurs causes immdiates, ncessaires et suffisantes.
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
IEC LO25 90
= 4844891 O L O L L b b
1025 O IEC
-21
An example of a fault tree showing common cause considerations is shown in figure 2. Event B is a common cause event which is analyzed further on another fault tree. Event D is a basic event.
r'
NOTE
For each event A, B, etc., information to be included in the event description box includes
7.4.2
Construction procedure
~
Dependability analyses should be documented in such a way that results can be reviewed and any changes needed can be incorporated in order to reflect changes in design, operating procedures or improved understanding of the physics of failure. In order that this may be done, a systematic approach to the construction is required. To implement this systematic approach, two concepts have to be understood and used consistently. These are the concepts of "immediate cause" and of "basic unit".
The "immediate cause" concept requires that the analyst determine the immediate necessary and sufficient causes for the occurrence of the top event. It should be noted that these are not the basic causes of .the event but the immediate causes or immediate mechanisms for the event to occur. The immediate, necessary and sufficient causes of the top event are now treated as subtop events and the analyst proceeds to determine their immediate, necessary and sufficient causes.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
IEC 1025 90
4844891 O L O L L b 7 9
-22-
1025 @ CE1
Ainsi, lanalyste progresse vers le bas de larbre de panne, en passant sans cesse du mecanisme au mode et en affinant continuellement lexplication du mecanisme et des modes, jusquau moment o les limites de rsolution de larbre sont atteintes. Si lon ne respecte pas strictement le concept de *cause immediate, on risque domettre des modes de panne en croyant les avoir dj inclus. Le concept edunite de base permet lanalyste de ne pas laborer des branches darbre de panne qui napporteraient pas dinformations nouvelles ou utiles. Une unit de base est traite comme si elle etait une unit ou un composant unique ou comme si elle etait examinee separment. Pour quune unit soit considre comme tant *de base, il faut et il suffit que les trois exigences suivantes soient satisfaites:
le fonctionnement de Iunit ne doit dpendre daucune fonction auxiliaire, ou bien tous les vnements se rapportant Iunit doivent &re exprimes par une seule porte OU dont lune des entres reprsente une panne de lunit, alors que les autres entrees reprsentent des incapacits remplir les fonctions auxiliaires correspondantes; - aucun vnement ne doit se rapporter la partie de Iunit qui apparat ailleurs dans larbre de panne.
7.4.3
Lanalyste doit consideref soigneusement les pannes dune entit, en particulier dans les catgories telles que panne premire et panne seconde comme la consquence des dfaillance premire et dfaillance seconde. Lorsque lon cherche classer une panno, on doit considrer les contraintes dexploitation et denvironnement et les comparer aux contraintes maximales auxquelles le composant doit rsister de par sa conception.
7.5
Les analyses logiques (qualitatives) et numriques (quantitatives) ont essentiellement pour but: didentifier les vnements qui peuvent provoquer directement une dfaillance du systme, et la probabilit de ces vnements; dvaluer le niveau de dfaillance tolr du systme (capacit du systme continuer de fonctionner aprs quun nombre donn de dfaillances ou dvnements mineurs conduisant une dfaillance du systme soient survenus); de verifier que la defaittance des systmes, des sous-systmes ou des composants est indpendante de toute autre; dvaluer les donnees afin de pouvoir mettre en vidence les composants critiques et les mcanismes de dfaillance; didentifier les diagnostics de dfaillance des dispositifs, les stratgies de rparation et de maintenance, etc.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
1025 O IEC
- 23 -
In this way, the analyst proceeds down the tree transferring attention from mechanism to mode, and continually approaching a finer resolution of mechanism and modes, until ultimately the limit of resolution of the tree is reached.
Strict adherence to the concept of "immediate cause" is necessary to ensure that fault modes are not omitted by reason of the assumption that such modes have been included previously. The concept of "basic units" can be used to save the analyst the effort of developing fault tree diagrams which do not yield new or useful information. A basic unit is treated as if it were a single unit or component or dealt with' separately. In order that the unit be considered "basic", it is necessary and sufficient that the following three requirements be satisfied:
operation of the unit shall not depend on any supporting function, or all events related to the unit shall be expressed by a single OR gate having one of the inputs representing a fault of the unit, the remaining inputs representing inability to perform the corresponding support functions; no events shall be related to a part within the unit that appears elsewhere in the fault tree.
7.4.3
Fault characteristics
It is necessary for the analyst to consider carefully item faults, particularly in categories such as primary fault and secondary fault resulting from primary and secondary failures.
In determining the classification of a fault, consideration shall be given to the operating and environmental stresses and comparison made with the maximum stresses for which . the item has been qualified.
7.5
The primary purposes of logical (qualitative) and numerical (quantitative) analyses of a system are:
identification of events which can directly cause a system failure, and the probability of such events; - assessment of fault tolerance of the system (ability to function even after a specified number of lower level failures or events contributing to the occurrence of a system failure have happened); - verification of the independence of failure of systems, subsystems or components;
identification of device failure diagnostics, inputs to repair and maintenance strategies, etc.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
-24-
1025 0 CE1
Pour valuer le niveau de dfaillance tolr dun systme, il faut dterminer le degr de redondance dans le systme et vrifier que des vnements de cause commune ne nuisent pas cette redondance. Bien que lon nait pas besoin dutiliser de donnes numriques pour ce type danalyse, celles-ci sont ncessaires pour trouver les combinaisons dvnements qui ont le plus de chances de se produire en provoquant une panne du systme.
7.5.1
Analyse logique
II existe trois techniques fondamentales pour effectuer lanalyse logique: linvestigation, la rduction boolenne et la dfinition de coupes minimales.
Investigation Linvestigation comprend ltude de la structure de larbre de panne, lidentification des vnements de cause commune et la recherche des branches indpendantes. Linvestigation fournit lanalyste des informations importantes qui, dans certains cas, sont suffisantes pour rendre inutile toute analyse complmentaire. Dans tous les autres cas, Cette investigation est indispensable pour se prononcer sans se tromper sur le type et ltendue des analyses complmentaires effectuer. Linvestigation visuelle directe dun arbre trac nest ralisable quavec de petits arbres qui ne comportent pas plus denviron 70 vnements. Linvestigation de plus grands arbres, comme ceux qui sont faits dans le cadre de lanalyse de systmes rels, ncessite un outil informatique adapt, mais lapproche globale demeure la mme. Linvestigation commence par Itude de la structure de larbre de panne. Tous les vnements qui sont lis lvnement de tte par une chane continue de portes OU sont des vnements qui produisent Ivnement de tte. De ce fait, si un arbre de panne nest form que de portes OU, toute analyse complmentaire est inutile. Si, par contre, Jarbre de panne comporte dautres types de portes, le systme analys comprend un certain type de redondance ou dautres lments permettant dviter les dfauts qui pourraient tre rendus inoprants par des vnements de cause commune. Linvestigation devrait permettre de dpister des vhements de cause commune mals ne devrait en aucune faon, amener lanalyste conclure que leur prsence est insignifiante. II ne peut en effet aboutir cette conclusion quaprs une analyse approfondie par rduction boolenne ou dtermination de coupes minimales. Comme la difficult de lanalyse crot rapidement avec la taille de larbre de panne, linvestigation de larbre aide lanalyste savoir quelles branches sont indpendantes du reste de larbre et peuvent donc &re analyses sparement.
Rduction boolenne La rduction boolenne sert valuer les effets des vnements de cause commune (vnements identiques apparaissant dans des branches diffrentes) dans les arbres de panne o lvnement de tte est indpendant du moment et de lordre dapparition des vnements. Pour procder une rduction boolenne, on peut rsoudre les quations de Boole se rapportant larbre de panne.
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
IEC 1025 90
1025 0 IEC
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
4844891 0101170 9
-25-
The assessment of fault tolerance of the system includes a determination of the degree of redundancy in the system and a verification that the redundancy is not impaired through common events (common cause events). Although the major part of fault tolerance assessment does not require the use of numerical data, such numerical data are required to evaluate which combinations of events causing a system fault are the most likely to occur.
7.5.1
Logical analysis
Three basic techniques are used for logical analysis: investigation, boolean reduction and, determination of minimal cut sets.
Investigation Investigation includes a review of the fault tree structure, identification of common events and a search for independent branches. Investigation provides the analyst with important information which, in some cases, may be sufficient to eliminate the need for further analyses. In all other cases, investigation is necessary for a correct decision on the type and extent of further analyses. Direct visual investigation of a plotted tree is possible only for small trees, not exceeding about 70 events. Investigation of larger trees, as arise from the analysis of actual systems, requires a suitable computer tool, but the overall approach remains the same.
Investigation starts with the review of the fault tree structure. All events which are linked to the top event through a continuous chain of OR gates are events which cause the top event to occur. Therefore, if a fault tree consists only of OR gates, no further analysis is required. If the fault tree includes other gate types, the analyzed system incorporates some sort of redundancy or other fault prevention features which could be invalidated by common cause events. Investigation should identify common cause events, but should not assume that their presence is benign. Such conclusions can be drawn only after a thorough analysis using boolean reduction or determination of minimal cut sets. As the difficulty of the analysis increases rapidly with the size of the fault tree, inspection of the fault tree allows the analyst to identify which branches of the fault tree are independent and can thus be analyzed separately.
Boolean reduction Boolean reduction is used for the evaluation of the effects of common events (identical events occurring in different branches) in fault trees where the occurrence of the top event does not depend on timing or sequencing of events. Boolean reduction can be carried out by solving boolean equations for the fault tree.
Methods of minimal cut sets There are several methods of determining minimal cut sets but application to larger trees may be difficult and incomplete. Various computer programs are available to assist the analyst.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
-26-
10250 CE1
Une coupe est un groupe dvnements qui, lorsquils se produisent conjointement, sont (peuvent &re) lorigine de lvnement de tte. Une coupe minimale est le plus petit de ces groupes dont tous les vnements doivent se produire (dans le bon ordre) pour que lvnement de tte ait lieu. Si lun de ces vnements ne survient pas, lvnement de tte ne peut arriver. Les mots cits entre parenthses dans la dfinition ci-avant permettent dlargir la dfinition des coupes minimales des arbres de panne qui dpendent de lordre des vnements. Dans ces cas, la coupe minimale dfinit le groupe dvenements qui peut tre lorigine de Ivnement de tte. Les effets de lordre des vnements dans ce groupe peuvent &re analyss laide dun diagramme de transition dtat qui, toutefois, nentre pas dans le cadre de cette norme.
7.5.2
Analyse numrique
Cette analyse a pour but de parvenir une estimation quantitative de lapparition dun vnement de tte ou dun ensemble choisi dvnements. Lanalyse numrique est galement une aide et un complment lorsquon effectue une analyse logique. Pour procder lvaluation numrique dun arbre de panne, on a besoin de donnes probabilistes sur les composants. Les techniques de prvision de fiabilit et disponibilit, les rsultats des essais ou les donnes recueillies en exploitation peuvent servir dterminer les valeurs quantitatives.
7.5.3
Exemples dune 6valuation simple fonde sur lalgbre de Boole applique A lanalyse par arbre de panne
Application lanalyse par arbre de panne Dans les arbres de panne qui ne sont constitus que de portes ET, OU et NON, chaque lment de la reprsentation boolenne correspond un lment de la reprsentation par arbre de panne.
Lesymbole i
u
I
employ6 dans larbre de panne est une porte OU qui traduit lunion des vnements relis cette porte. La porte OU correspond au symbole boolen #+.
employ dans larbre de panne est une porte ET qui reprsente lintersection des vnements relis cette porte. La porte ET correspond au symbole boolen * a .
Les symboles OU et ET de lalgbre de Boole peuverlt tre remplacs par dautres symboles, comme ceux qui sont utiliss dans de nombreux langages de programmation dordinateurs. II faudra cependant sassurer que lensemble est homogne. Prenons larbre de panne prsent sur la figure 1. On peut crire C=D+E A = B C = B * (D -IE)
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
1025 0 IEC
-27-
A cut set is a group of events which, when occurring together, (may) cause the top event to happen. A minimal cut set is the smallest such group in which all events must occur (in proper sequence) for the top event to occur. If any of the events in a minimal cut set does not-occur, it prevents the top event from occurring. The words in parentheses in the definition above extend the definition of minimal cut sets to fault trees dependent on sequencing of events. In those instances, the minimal cut set determines the group of events with the potential to cause the top event. The effects of sequencing of events in this group can be analyzed using the state-transition diagram, which, however, is beyond the scope of this standard.
7.5.2 Numerical analysis
The purpose of numerical analysis is to provide a quantitative assessment of the probability of occurrence of the top event or a selected set of events. Numerical analysis is also used to support and to supplement the logical analysis. In order to perform a numerical evaluation of a fault tree, probabilistic data at the component level are required. Reliability and availability prediction techniques, actual test or field use data may be used to establish the quantitative values.
7.5.3
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Examples of a simple evaluation using boolean algebra applied to fault tree analysis
Application to fault tree analysis In fault trees which consist only of AND, OR and NOT gates, there is a one-to-one correspondence between the boolean algebraic expression and the fault tree representation.
I
is an OR gate which represents the union of the events attached to the gate. The O R gate is equivalent to the boolean symbol
'+".
-f
is an AND gate which represents the intersection of the events attached to the gate. The AND gate is equivalent to the boolean symbol
.'s'
OR and AND symbols for boolean algebra may be expressed with other symbology,
such as that used-with many computer program languages. Consistency is required, however. Considering the fault tree as shown in figure 1, we can write C=D+E A =B * C=B
(D+ E)
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
-28-
1025 0 CE1
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Application aux coupes minimales Lvnement de tte peut tre exprim en fonction dun nombre fini de coupes minimales qui nappartiennent qu cet vnement de tte. La forme gnrale de cette expression est T = M,
+ M, + ..... + Mi + .....
+
MP
o T est lvnement de tte et o Mi sont les coupes minimales. Chaque coupe minimale comprend une combinaison de dfaillances spcifiques de composants, et la coupe minimale gnrale peut scrire: M = X , OX,
..:.xi*..:x,
Prenons larbre de panne de la figure 1. Les coupes minimales de lvnement de tte sont, dans ce cas, 6 * D et 6 E.
Repres et libells
Chaque vnement de larbre de panne doit avoir un repre qui lui soit propre. II convient que les vnements soient libells de telle sorte que lon puisse facilement retrouver, Ci laide de larbre de panne, la documentation sur la conception correspondante. Lvnement de tte de larbre de panne est Ivnement indsirable qui constitue la raison detre de lanalyse par arbre de panne. II est noter quun seul vnement de tte peut tre associ un arbre de panne donn. Si plusieurs vnements de larbre de panne concernent tous diffrents modes de panne dune mme entite, il convient de dsigner ces vnements de faon Ci pouvoir les distinguer. En mme temps, Il convient de faire apparatre clairement quils constituent un groupe dvnements se rapportant la mme entit. Si un vnement donn, par exemple lincapacit de fermeture dune vanne particulire revient en diffrents points de larbre ou si cet vnement apparat dans plusieurs arbres, tous ces vnements doivent tre libells de la mme manire. Toutefois, des vnements similaires mais concernant diffrentes entits ne doivent pas avoir le mme repre. Le code dun vnement devra contenir des informations sur lidentification du systme, lidentification du composant et le mode de panne. Larbre de panne est en fait un diagramme dans lequel les vnements sont relis par des portes logiques. A chaque porte correspond un seul vnement de sortie mais un ou plusieurs vnements dentre.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
IEC 1025 90
4844891 OLOl174 b
1025 @ IEC
-29-
Application to minimal cut sets The expression for the top event can bewritten in terms of a finite number of minimal cut sets, which are unique to that top event. The general form is
T=M, +M2+
..... + M i + .....
+
Each event in the fault tree shall be uniquely identified. Events should be labelled so that cross reference from the fault tree to the corresponding design documentation can easily be made. The top event of the fault tree is the undesirable event which is the primary reason for undertaking the fault tree analysis. It should be noted that only a single top event may be associated with a given fault tree.
If several events in a fault tree all refer to different fault modes of the same item, then such events shall be labelled so as to enable them to be distinguished. At the same time it should be clear that they are a group of events related to the same item.
If a particular event, for example inability of a particular valve to close, occurs in several places in a tree, or if it occurs in several trees, all such occurrences shall bear the same label. However, events which are similar but which involve different items shall not bear the same identification.
A typical event code should contain information relating to system identification, component identification and fault mode. The fault free is in .effect a diagram in which the events are linked by logic gates. Each gate has one output event but one or more input events.
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
MP
where T is the top event and Mi are the minimal cut sets. Each minimal cut set consists of a combination of specific component faults, and the general minimal cut set can be expressed as
M = X , *X,*...*Xio....X,
where Xi is a basic event on the tree. Consider the fault tree shown in figure 1. The minimal cut sets of the top event are in this case B D and B E.
I E C LO25 90 D L l B Y L l B L 0101175 B D
-30-
10250 CE1
Les vnements dentre identifient des causes ou des conditions possibles de lapparition des vnements de sortie. Cependant, ce mode de liaison ne donne pas ncessairement une relation squentielle (temporelle) entre les vnements. Dans larbre de panne courant on utilise essentiellement des portes ET, OU et NON. Toutefois, quand on analyse des systmes complexes, il est parfois ncessaire dutiliser dautres symboles pour les portes afin detre sr que les arbres de panne sont lisibles et aussi simples que possible. On trouvera dans lannexe A les principaux symboles normaliss qui sont conformes la CE1 617-12 ainsi que dautres symboles utilisables en alternative. Si besoin est, on pourra laborer un ventail supplementaire de symboles plus spcialiss. Toutefois, il importe que lanalyste dfinisse et signale les symboles quil utilise et sassure que les mmes symboles sont employs de faon cohrente tout au long dune mme analyse par arbre de panne. Cest dautant plus vrai que les techniques employes sappuient sur linformatique (voir la fin de 6.2). Pour llaboration de larbre de panne, il convient que lanalyste emploie, en outre, les symboles et les repres appropris pour signaler, selon le cas que lvnement, ou une branche entire, est galement utilis dans une autre parte de larbre; - que la partie de larbre qui est dcrite contient des vnements qui apparaissent galement dans dautres parties de larbre;
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
quun vnement commun apparaissant dans une partie de lanalyse est davantage dvelopp ailleurs.
II est ncessaire de suivre cette recommandation pour les reprsentations graphiques des arbres de panne.
9
Rapport
I I convient que le rapport sur lanalyse par arbre de panne comprenne au moins les 616ments de base cits plus loin. Des informations complmentaires peuvent tre fournies par souci de clart, surtout dans le cas danalyse de systmes complexes. Aucun format spcial nest propos dans cette norme.
I I convient que le rapport comprenne les lments de base suivants
objectif et domaine dapplication; description du systme a) description de la conception b) fonctionnement du systme c) dfinitions dtailles des limites du systme;
hypothses a) hypothses relatives la conception du systme b) hypothses se rapportant aux contrles, aux essais, la maintenance et au fonctionnement e) hypothses pour les modles de fiabilit et de disponibilit;
I E C LO25 90 W 4844891 O B O L L 7 6 T
1025 0 IEC
-31
The input events identify possible causes and conditions for the occurrence of the output events. However, such linking does not necessarily define the sequential (time) relationship between the events. The basic fault tree uses AND, OR and NOT gates. However, for complex systems analysis, additional gate symbols may be required to assure that the fault trees are readable and as simple as possible. Annex A shows the standardized basic symbols in accordance with IEC 617-12, together with possible alternatives. A supplementary set of more specialized symbols may be developed if required. However, it is important for the analyst ta define and report those symbols being used and ensure uniform and consistent use throughout a given fault tree analysis. This is particularly true if computer-aided techniques are to be used (see end of 6.2).
In developing the fault tree, the analyst should also use appropriate symbology and identification to make it clear, when applicable, that
the event or whole branch is also used elsewhere in the tree; the depicted part of the tree includes events used also in another part of the tree;
a common cause event shown in one pari of the analysis is further developed elsewhere.
This is necessary for the graphical presentation of fault trees.
Report
The report of the fault tree analysis should include as a minimum the basic items listed below. Additional and supplementary information may be provided to increase clarity, especially in cases of complex systems analyses. A prescribed format is not proposed by this standard. Basic items in the report should be
objective and scope; system description a) design description b) system operation c) detailed system boundaries definitions; .
assumptions a) system design assumptions b) operation, .maintenance, test and inspection assumptions c) reliability and availability modelling assumptions;
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
rsultats et conclusions.
Les donnees complmentaires qui peuvent &re incluses sont organigramme du systme ou diagrammes du circuit; rsum des donnees de fiabilit et de maintenabilit et sources utilises;
description de larbre de panne exploitable par un ordinateur (pour les analyses de systmes complexes).
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
1025 @ IECI
-33-
system block or circuit diagrams; summary of reliability and maintainability data and sources used; fault tree description in computer readable form (for complex systems analyses).
a
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C i1025 90
YB44891 O L O L L 7 9 5
-34-
1O25 0CE1
Annexe A (normative)
Symboles
Lannexe A fait partie intgrante de la prsente norme internationale.
Symbole prfrentiel
Autre symbole
Fonction
Description
Porte ET
1 Porte 0
Lvnement a lieu si lun des vnements dentre se produit soit seul, soit combin
Porte OU exclusif
Lvnement ne se produit que si lun des vnements dentre survient seul (utilis normalement avec deux vnements dentre)
-D-
Porte NON
Lvnement reprsente une condition qui est linverse de la condition dfinie par Ivnement dentre
Porte SI
Lvnement ne se produit que si lvnement dentre droite lieu tandis que Ivnement en bas et constituant ia condition se ralise. Si la condition est provoque par lapparition dun autre vnement, la porte S I implique quil y a une chronologie des vnements
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C LO25 90
m 4B4489L O L O L L A O I m
1025O IEC
-35-
Annex A (normative)
Symbois
Annex A forms an integral part of this International Standard.
Preferred symbol
Alternative symbol
Function
Description
AND gate
DU
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
OR gate
Event occurs if any of the input events occur, either alone or in any combination
Event occurs only if one of the input events occurs alone (used typically with two input events)
U
NOT gate Event represents a condition which is an inverse of the condition defined by the input event
IBIT gate
Event occurs only if input event attached to the right occurs while the event attached to the bottom and forming the condition is in force; if the condition is caused by the occurrence of another event, INHIBIT gate implies timing of events
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
1025 0 CE1
Structure redondante
Porte (gnral)
Symbole gnral dune porte. Sa fonction doit &re dfinie lintrieur du symbole
Libell de lvnement
Le nom ou la description de lvnement, le code de lvnement et (si ncessaire), la probabilit de cet vnement doivent &re inscrits lintrieur du symbole
-0
Evnement de base
Evnement dont la subdivision plus pousse na pas t faite (en gnral, parce que ceia ntait pas jug utile) Evnement qui est dvelopp dans un autre arbre de panne
Analys ailleurs
Maison
Evnement inexistant
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C II025 90
4B44BL OIIOLLB2 5
-37Function Descdption
Redundant structure
Gate (general)
General symbol of gate; its function shall be defined within the symbol
Name or description of the event, event code, and probability of occurrence (as required) shall be included within the symbol
-o
U
Basic eve t
Undeveloped event
Event for which further subdivision was-not done (usually because it was considered unnecessary) Event which is further developed on another fault tree
House
Zero event
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
I E C LO25 90
= 4B44891 O L O L L B 3
-38Fonction
1025 @ CE1
Symbole prfrentiel
Autre symbole
Description
Report
Report diffr
utilis
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
-39Function Description
symbol
symbol
Transfer-in
Transar-ou
. .
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
'
I E C LO25 90
4844891 O L O L 1 8 5 O
Troisime complncnt. considerations pfchhaiFc8 sur la fiabilit. Gestion de la fiabilitet de la maintenabilit. Prtscnation des domea de fiabilit pour ks compo\ sants (ou pieoee * ) Ckctroniques. 362(1971) Guide pour I'ttcquisition des dads de fiabilit. de disponibilit ct de maintcnabit partir des & u h k d'exploitation des dispositifskctroniques. 409(1981) Guide pour l'inclusion de c l a m de fiabilit dans ICs ap&iiations de composants (ou p W dtacbces) pour l'quipement Ckctronique. 410 (1973) Pians et &gke d'chantillonnage pour ks coatrks par a#niu(s. 419 (1973) Guide pour l'inclusion des procdures de contrle lot par lot et p r i d i e dans ks spcifications de composants kctroniqw (ou p k dtdn?ea). 605: -&ais de fiabilit des quipements. Premire partie: Prescriptions gnraks. 605-1 (1978) Modification no 1(1982). 605-3-1 (1986) Troisime partie: Conditions d'cssai pdfrentielks. Equipements portatifs d'intrieur Faibk degr & simulation. 605-3-2 (1986) Troisime partie: Conditions d ' d pfcfrentielks. Equipcments pair utilisation poste fixe l'abri des intempries Degr de simulation Ckvt. 605-4(1986) Quatneme partie: Mthodes de calcul des estimations ponctueuts d des limites de confiame resultant d'essais de dtcmiination de Ia fiabilit d'quipcments. Modification no 1(1989). 605-5 (1982) Cinquime partie: P l a n s d ' d a de conformit pour une proportion de s u & . 6056 (1986) Sixime partie: Testa de validit de I'hypothc d'un taux de dfaillance constant. M d i t i o n no 1(1989). 605-7 (1987) SCptime partie: P l a n s d'chantillmage confirmer k taux de &faillame et la moytnne des temps de bon fonctionnement dans l'hypoti2se d'un taux de dfaillcorntant. Modification no 1 (1990). 706: Gu& de maintcnabilit de ma&iel. Premire partie: Stctiom un, deux et trois intaw706-1 (1982) duction, cxigcaceset programme de maintcnabilit. 7062 (1990) P a r t i e 2: Section chq Ehidca de maintcnabilit au niveau de la conception. 706-3 (1987) Troisime partie: Sectiow six et sept Vrification et recueil, analyse et pthntation des d o & . 812(1985) Techniques d'analyse de la fiabilit des systemes P r d u r e d'analyse des m o d e s de &faillet de kurs effets (AMDQ. 863 (1986) Prsentation des rCeultats de la pfcvision des caractristiques de fiabilit,maintcnabilit ct disponibilit. 1025 (1990) Analyse par arbre de panne (M).
409 (1981)
Guide for the inclusion of lot-by-lot and periodic iisPpection procedures in specifications for electronic components (or parts). 605: -Equipment reliabilitytcsing. P a r t 1: General requirements. 605-1 (1978) Amendmcnt No. l(1982). a r t 3 : hferred test conditions. I n d m pombk 605-3-l(1986) P equipment Low degree of simulation.
605-3-2(1986) Part 3: Preferred test conditions. Equipment for stationary usc in weatfierprotectcd locations High dcgrac of simulation. P a r t4 : Procedures for determining poht estimates 605-4(1986) and confidencc limits h m equipment reliabdity determination tests.
605-7 (1987)
Amendment No. 1 (1990). 706: -Guide on maintainability of equipment. 706-1 (1982) P a r t 1: Sections Om,Two and Throc introduction, requirements and maintainability programme. 7062 (1990) Part 2 Section Five Maimtainabilhy studics during the design phase. 7063 (1987) P a r t 3: Sections S and Seven Verification and collection, analysis and presentation of data. 812 (1985) Analysis tcchnqucs for s y s t e m reliability Proccdure for failure modc and effects analysis (FMEA).
Publication 1025
Copyright International Electrotechnical Commission Provided by IHS under license with IEC No reproduction or networking permitted without license from IHS
--`,`,``,,```,`,,,``,`,`,,``,``-`-`,,`,,`,`,,`---