Common Cause Failure

Common Cause Failure - CCF - Fel med gemensam orsak - är förhållandet att ett tekniskt system som försetts med flerfaldiga eller redundanta komponenter för att förbättra tillförlitligheten, får fel som samtidigt uppträder i flera system eller komponenter på grund av en specifik händelse eller orsak. Detta kan medföra att systemets tillgänglighet blir lägre än avsett.

Allmänt redigera

För att skapa tekniska system med hög tillförlitlighet kan man förse systemet med flerfaldiga (redundanta) komponenter. Enkla exempel är reservdäck i en bil, eller flygplan med flera motorer.

Om komponenterna är helt oberoende av varandra kan systemets otillgänglighet beräknas som produkten av komponenternas. Ett system uppbyggt av två redundanta "hyfsade" komponenter som vardera felar "en gång på tusen" skapar då ett mycket tillförlitligt system som felar "en gång på miljonen" (1/1000*1/1000=1/1000000="en på miljonen"), vilket visar att redundans kan vara ett kraftfullt sätt att öka ett systems tillförlitlighet.

För att få avsedd inverkan krävs dock att de redundanta komponenterna verkligen är oberoende så att de inte slås ut av samma felorsak.

Exempel på CCF är att de flerfaldiga komponenterna

har utsatts för samma felaktiga underhåll
har utsatts för samma olämpliga miljö (kyla, åska, korrosion, åldring)
har identiska programmerbara komponenter som kan vara behäftade med programmeringsfel

Vid sådana händelser uteblir eller minskar den avsedda nyttan av redundansen, och systemets tillförlitlighet blir sämre än avsett.

Risken för CCF kan minskas genom åtgärder som

systematisk kartläggning av möjliga fel med gemensam orsak, och åtgärder för att förhindra dessa.
diversifierad redundans, det vill säga att man har redundanta komponenter som har olika funktionsprinciper ("en ångdriven och en eldriven pump") eller åtminstone är av olika fabrikat
att undvika att göra underhåll på flera redundanta komponenter vid samma tillfälle (så kallat tidsdiversifierat underhåll)
noggrann och realistisk verifiering av funktion efter reparation och underhåll (så kallad driftklarhetsverifiering, DKV)

Vid genomförande av PSA - Probabilistisk SäkerhetsAnalys - kan risken för CCF beaktas genom att baserat på empiriska observationer av verkliga inträffade CCF-händelser tillfoga en viss sannolikhet för att CCF inträffar hos redundanta komponenter. Detta ger då en lägre men mer rättvisande bild av systemets tillgänglighet.

Exempel redigera

Vid Gottrörakraschen 1991 störtade ett två-motorigt flygplan kort efter start efter att isbeläggningar på planet lossnat och skadat bägge motorerna. Normalt sett är sannolikheten liten att två motorer samtidigt ska sluta fungera, men händelsen är ett exempel på CCF där ett felaktigt underhåll, bristande av-isning, drabbade de redundanta komponenterna samtidigt.^[1]

Kärnkraftverk har höga krav på egen oberoende kraftförsörjning av säkerhetssystem, vilket oftast anordnas med 2 - 4 redundanta dieseldrivna generatorer. Normalt sett är sannolikheten att samtliga dieselgeneratorer ska sluta fungera mycket liten, men händelser har inträffat med otillgänglighet hos samtliga generatorer till exempel på grund av felaktigt eller olämpligt bränsle.^[2] Detta är ett exempel på CCF på grund av felaktigt underhåll, men kan också vara bristande separation i konstruktionen genom att de "oberoende" motorerna har gemensam bränsletank.

Vid Forsmarkshändelsen 25 juli 2006 kom en yttre elstörning att lösa ut elektriska skydd vilket gjorde två av fyra dieselgeneratorer otillgängliga, men skulle kunna gjort alla fyra otillgängliga. Här var den yttre elstörningen en CCF, ett fel som påverkade flera redundanta komponenter på grund av bristande oberoende med avseende på denna störning.^[3]