Foutenboomanalyse: rampen voorspellen voordat ze gebeuren
Stel je een vliegtuig voor dat neerstort omdat de motor uitvalt. Bij nader onderzoek blijkt dat de motor alleen uitvalt als twéé dingen tegelijk misgaan: een sensor geeft een verkeerde waarde door en de back-upsensor is net op dat moment defect. Foutenboomanalyse is de techniek waarmee ingenieurs dit soort combinaties van oorzaken systematisch in kaart brengen, nog voordat het ongeluk ooit heeft plaatsgevonden.
De naam verwijst naar een diagram dat eruitziet als een omgekeerde boom. Bovenaan staat de ramp die je wilt voorkomen, de zogeheten 'top event' bijvoorbeeld een reactorlek, een systeemstoring of een botsing. Daaronder vertakt het diagram zich steeds verder naar beneden, naar kleinere en kleinere technische of menselijke fouten die samen die ramp kunnen veroorzaken. Door deze boom logisch en wiskundig te ontleden, kunnen ingenieurs precies aanwijzen welke zwakke schakels het gevaarlijkst zijn en waar extra beveiliging het meeste effect heeft.
Wat is het precies?
Foutenboomanalyse (in het Engels Fault Tree Analysis, afgekort FTA) begint altijd bovenaan, bij het ongewenste eindresultaat. Vanuit dat 'top event' werkt de analist stap voor stap terug: welke gebeurtenissen, alleen of in combinatie, zouden dit kunnen veroorzaken?
Die combinaties worden weergegeven met logische poorten, geleend uit de digitale elektronica. Een OR-poort (of-poort) betekent dat al genoeg is als één van de onderliggende gebeurtenissen optreedt bijvoorbeeld als kabel A stuk gaat, óf kabel B, óf kabel C. Een AND-poort (en-poort) betekent dat alle onderliggende gebeurtenissen tegelijk moeten optreden voordat het probleem ontstaat, zoals in het motorvoorbeeld hierboven. Door deze poorten laagje voor laagje te herhalen, ontstaat een boomstructuur die eindigt bij de kleinste, niet verder te herleiden oorzaken: de 'basisgebeurtenissen', zoals het falen van één specifiek onderdeel of een menselijke vergissing.
Met deze boom kunnen ingenieurs twee dingen doen. Bij kwalitatieve analyse zoeken ze naar de kleinste combinaties van basisgebeurtenissen die samen genoeg zijn om de ramp te veroorzaken, de zogeheten 'minimale doorsneden' (minimal cut sets). Een combinatie van één enkele basisgebeurtenis die alleen al genoeg is, heet een 'single point of failure' een systeem zonder enige back-up en dus een rode vlag voor ontwerpers. Bij kwantitatieve analyse kent men aan elke basisgebeurtenis een faalkans toe (bijvoorbeeld: dit type klep faalt gemiddeld één keer per tienduizend bedrijfsuren) en berekent men met de regels van de Booleaanse algebra de totale kans dat het top event zich voordoet.
Wat wil men ermee bereiken?
Het achterliggende doel is simpel geformuleerd, maar moeilijk in de praktijk: voorkomen dat systemen waarbij mensenlevens op het spel staan onverwacht falen. Door vooraf te berekenen welke foutcombinaties het gevaarlijkst zijn, kunnen ontwerpers gericht redundantie inbouwen, bijvoorbeeld een tweede onafhankelijke sensor plaatsen zodat een AND-poort ontstaat in plaats van een kwetsbare OR-poort.
Daarnaast dient de methode als bewijsvoering. Regelgevers in de luchtvaart, kernenergie en auto-industrie eisen vaak een gedocumenteerde veiligheidsanalyse voordat een systeem in gebruik mag worden genomen. Een foutenboom maakt expliciet en navolgbaar hoe een fabrikant tot zijn veiligheidsclaims komt, in plaats van te vertrouwen op onderbuikgevoel of ervaring alleen. Ten slotte helpt de techniek bij het verstandig verdelen van een beperkt veiligheidsbudget: niet elk onderdeel verdient evenveel aandacht, en de foutenboom laat zien waar investeringen in extra controles of back-ups het grootste effect hebben op de totale faalkans.
Voorbeelden uit de praktijk
De methode is niet nieuw, maar juist door decennia van gebruik in de praktijk beproefd geraakt.
- Minuteman-raketprogramma (1961-1962): Ingenieur H.A. Watson van Bell Telephone Laboratories ontwikkelde foutenboomanalyse in opdracht van de Amerikaanse luchtmacht, om te beoordelen of het lanceercontrolesysteem van de Minuteman I-raket per ongeluk zelf een lancering kon veroorzaken.
- WASH-1400, ook wel het Rasmussen-rapport (1975): De eerste grootschalige probabilistische risicoanalyse van kerncentrales in de Verenigde Staten, geleid door hoogleraar Norman Rasmussen van het MIT. Dit rapport zette foutenboom- en gebeurtenisboomanalyse definitief op de kaart als standaardgereedschap voor de nucleaire sector.
- Space Shuttle, NASA (jaren '90): Na de Challenger-ramp in 1986 breidde NASA het gebruik van probabilistische risicoanalyse, met foutenbomen als kernonderdeel, sterk uit om de faalkansen van het spaceshuttlesysteem beter te begrijpen.
- ISO 26262, autosector (sinds 2011): Deze internationale norm voor functionele veiligheid van wegvoertuigen noemt foutenboomanalyse expliciet als aanbevolen techniek bij het beoordelen van elektronische systemen zoals stuur- en rembesturing.
- Attack trees in cybersecurity (1999): Beveiligingsonderzoeker Bruce Schneier paste het principe van de foutenboom toe op digitale aanvallen: in plaats van een technische storing staat bovenaan de boom een succesvolle hack, met daaronder de stappen die een aanvaller zou moeten zetten.
Hoe ver is de techniek?
Foutenboomanalyse is een volwassen, honderd procent gevestigde methode. Er bestaat een internationale norm die de aanpak standaardiseert, en diverse gespecialiseerde softwarepakketten ondersteunen ingenieurs bij het bouwen en doorrekenen van grote, complexe bomen met duizenden vertakkingen. Dit is dus geen opkomende technologie maar een ingeburgerd stuk gereedschapskist van de veiligheidstechniek, vergelijkbaar met een verkeersbord of een bouwvoorschrift.
Toch loopt de methode tegen grenzen aan naarmate systemen complexer en meer softwaregestuurd worden. Een klassieke foutenboom gaat uit van betrekkelijk statische, goed te definiëren faalwijzen van fysieke onderdelen: een klep die vastloopt, een kabel die breekt. Bij moderne systemen zoals zelfrijdende auto's of software met kunstmatige intelligentie ontstaan problemen echter vaak niet doordat een onderdeel 'stuk' gaat, maar doordat de software zich in een onvoorziene situatie onverwacht gedraagt. Dat is lastig te vangen in een boom van vooraf gedefinieerde basisgebeurtenissen. Om die reden ontwikkelde hoogleraar Nancy Leveson van het MIT met STPA (System-Theoretic Process Analysis) een aanvullende methode die beter is toegesneden op software-intensieve en zelflerende systemen. Foutenboomanalyse verdwijnt daardoor niet, maar wordt in de praktijk steeds vaker gecombineerd met nieuwere technieken, en met dynamischere modellen zoals Bayesiaanse netwerken, om ook afhankelijke en veranderlijke risico's beter te kunnen doorrekenen.
Wie werken eraan?
Omdat het een ingeburgerde ingenieurstechniek is en geen actief onderzoeksveld op zich, ligt de nadruk minder op wetenschappelijke doorbraken en meer op toepassing, standaardisatie en tooling.
In de Verenigde Staten spelen NASA en de Nuclear Regulatory Commission (NRC) een grote rol bij het toepassen en verder verfijnen van de methode voor respectievelijk ruimtevaart en kernenergie. Het Idaho National Laboratory ontwikkelde in NRC-opdracht de veelgebruikte software SAPHIRE voor probabilistische risicoanalyse. Het Electric Power Research Institute (EPRI) staat aan de basis van het softwarepakket CAFTA, dat wereldwijd in de energiesector wordt gebruikt. Internationaal bevordert het Internationaal Atoomenergieagentschap (IAEA) in Wenen het gebruik van probabilistische veiligheidsanalyse bij kerncentrales, terwijl de Zwitserse normeringsorganisatie IEC (International Electrotechnical Commission) de formele norm voor foutenboomanalyse beheert. In de automotive sector zorgt de internationale standaardisatiecommissie ISO/TC22 voor de verankering van de techniek in ISO 26262, en in de academische wereld blijft vooral het MIT, met opvolgers van zowel Rasmussen als Leveson, een belangrijke bron van methodologische vernieuwing.