Què és un arbre de fallades
L’arbre de fallades, conegut com FTA, és una representació deductiva. Comença per un succés que es desitja evitar i examina quines situacions poden produir-lo. Cada branca es desenvolupa mitjançant relacions lògiques fins a arribar a successos bàsics o a elements que no es desenvolupen més pels límits de l’estudi.
Pot emprar-se de manera qualitativa per a entendre vulnerabilitats o complementar-se amb una estimació quantitativa. La seva utilitat depèn del fet que el model representi el sistema real. Un diagrama extens no és necessàriament millor si conté relacions imprecises, oculta suposats o barreja conseqüències diferents sota una mateixa descripció.
Definir el succés superior i els límits
El succés superior ha d’indicar clarament què ocorre i en quines condicions. Expressions com a fallada general són massa ambigües per a construir una lògica verificable. Convé definir la funció perduda o la situació perillosa, juntament amb el mode operatiu i el període o demanda que interessa analitzar.
L’abast inclou equips, subministraments, interfícies i actuacions humanes rellevants. També estableix què queda fora i per què. La informació de disseny, operació i manteniment ha de permetre contrastar les relacions proposades. Quan falta informació, l’arbre pot marcar una branca pendent de desenvolupament, mantenint visible aquesta limitació.
Portes lògiques i construcció del model
Una porta O representa situacions en les quals basta qualsevol dels successos connectats per a produir el següent. Una porta I representa una combinació en la qual han de concórrer tots els successos definits. La condició temporal i el significat de concurrència necessiten coherència amb l’escenari estudiat.
L’arbre es construeix per nivells, comprovant cada relació abans de continuar. Les causes han d’estar al mateix nivell de descripció quan es comparen. Si una branca utilitza fallades físiques i una altra expressions generals com a mala gestió, serà necessari precisar els mecanismes que connecten aquests factors amb el succés superior.
Dependències i causes comunes
Dos equips físicament separats poden compartir alimentació, ambient, manteniment o informació. Per això no s’ha d’assumir independència sol perquè existeixin dos dispositius. Un mateix succés pot inutilitzar diverses funcions i ha de representar-se de manera que l’anàlisi no atribueixi una redundància inexistent.
Els successos repetits necessiten una identificació consistent. Si apareixen com a esdeveniments distints en branques separades, l’estimació pot resultar enganyosa. L’anàlisi qualitativa ajuda a localitzar combinacions mínimes capaces de produir el succés superior i a reconèixer fallades individuals que comprometen diverses proteccions simultàniament. Un conjunt mínim de fallada descriu una combinació suficient per a produir el succés superior que deixa de ser suficient si es retira qualsevol dels seus elements. La seva interpretació ajuda a prioritzar l’estudi de vulnerabilitats. No ha de confondre’s amb una llista de components a substituir: la decisió preventiva requereix revisar mecanismes, conseqüències i opcions de disseny.
Quan i com quantificar
La quantificació requereix dades adequades sobre fallades, demandes, temps i disponibilitat, amb una interpretació compatible amb el model. Una taxa de fallada, una probabilitat de fallada en demanda i una probabilitat durant un període no són magnituds intercanviables. Els supòsits han de documentar-se perquè una altra persona pugui revisar el càlcul.
En condicions apropiades d’independència poden aplicar-se relacions probabilístiques, però no han d’usar-se mecànicament per a qualsevol porta. Les dependències, reparacions i seqüències poden requerir models més elaborats. Presentar molts decimals no compensa la falta de dades. És preferible expressar incertesa i analitzar sensibilitat que oferir una xifra aparentment exacta.
Diferències amb altres anàlisis
El arbre de causes sol emprar-se per a reconstruir fets d’un accident ocorregut. L’arbre de fallades modela combinacions possibles que condueixen a un succés definit. Tots dos usen relacions entre esdeveniments, però la seva finalitat i manera de justificar les branques són diferents.
El AMFE part de funcions o elements i recorre les seves fallades potencials. El anàlisi Bow-tie connecta amenaces, succés central, conseqüències i barreres. Aquests mètodes poden alimentar l’arbre de fallades, sempre que es comprovin les relacions i no es traslladin automàticament les conclusions d’un format a un altre.
Exemple pràctic
S’estudia la pèrdua d’una funció de protecció durant una operació. L’equip identifica dos canals que, en aparença, proporcionen redundància. En revisar documentació i manteniment descobreix que tots dos depenen d’un mateix subministrament auxiliar, la pèrdua del qual pot afectar els dos al mateix temps.
L’arbre incorpora aquesta causa comuna i mostra que no n’hi ha prou amb multiplicar probabilitats de fallada individuals com si els canals fossin independents. L’equip revisa el disseny i les comprovacions necessàries. L’exemple il·lustra la utilitat del raonament lògic; la solució tècnica requereix dades i validació específics de la instal·lació.
Ús preventiu i revisió
Els resultats han de convertir-se en decisions sobre disseny, manteniment, proves, procediments o anàlisis addicionals. Cada recomanació necessita responsable i evidència de tancament. Quan canvia una condició del sistema, la gestió del canvi ha de revisar si l’arbre continua sent representatiu.
Entre els errors més freqüents estan definir malament el succés superior, ometre subministraments compartits, duplicar esdeveniments i confondre probabilitats amb freqüències. L’arbre ha d’ajudar a comprendre i millorar la seguretat, no funcionar com una justificació gràfica elaborada després d’haver decidit que el risc és acceptable.
