Eine veraltete Datei erreicht den Kunden, obwohl der Versand eine Freigabe vorsieht. „Die Prüfung hat versagt“ klingt nach einer Erklärung. Aber was musste tatsächlich zusammenkommen? War schon die ausgewählte Datei falsch und blieb das unbemerkt? Oder wurde eine korrekt geprüfte Datei erst danach ausgetauscht? Diese Wege verlangen unterschiedliche Antworten.
Die Fehlerbaumanalyse im Qualitätsmanagement hilft, solche Zusammenhänge logisch zu beschreiben. Sie fragt nicht nur, welche Fehler denkbar sind, sondern welche einzelnen Ereignisse oder Kombinationen zu einem genau bestimmten unerwünschten Ergebnis führen. Unser fiktiver Dokumentenfall macht die Begriffe UND und ODER verständlich. Er ist eine Lernübung, keine Freigabegrundlage für einen realen Prozess.
Vom unerwünschten Ergebnis rückwärts denken
Die NASA-Wissensdatenbank zur Fehlerbaumanalyse beschreibt den Ansatz als „top-down“: Ausgangspunkt ist ein übergeordnetes Fehlerereignis; darunter werden auslösende Ereignisse und ihre Kombinationen untersucht. Eine FMEA betrachtet dagegen typischerweise einzelne Fehlermöglichkeiten und deren Auswirkungen von unten nach oben. Beide Blickrichtungen können sich ergänzen.
Die Besonderheit des Fehlerbaums liegt in den Verknüpfungen. Zwei Kästen unter einem Oberbegriff sind noch keine nachvollziehbare Analyse. Du musst erklären, ob jeder Kasten allein das obere Ereignis auslösen kann oder ob mehrere Bedingungen gemeinsam erforderlich sind. Genau hier unterscheiden sich UND und ODER von einer bloßen Liste möglicher Ursachen.
Für unseren Fall lautet das oberste Ereignis, auch Top-Ereignis genannt: „Eine zum Versandzeitpunkt nicht mehr gültige Dokumentenversion wird an den Kunden gesendet.“ Wir betrachten einen einzelnen Versand vom Auswählen der Datei bis zum Absenden. Falsche Empfänger und beschädigte Dateien gehören nicht zu dieser Übung; sie wären andere Fragestellungen.
UND und ODER sind Aussagen über Bedingungen
Nach dem NASA Fault Tree Handbook, Kapitel 4, bedeutet ODER: Mindestens eines der Eingangereignisse genügt. Auch mehrere dürfen auftreten. UND bedeutet: Alle verbundenen Eingangereignisse müssen vorliegen. Ein einfaches UND beschreibt keine zeitliche Reihenfolge; diese müsste gegebenenfalls zusätzlich modelliert werden.
Die praktische Kontrollfrage lautet: „Kann das obere Ereignis noch eintreten, wenn ich einen der beiden Eingänge ausschließe?“ Falls ja, passt für zwei alternative Fehlerwege ein ODER. Falls der betrachtete Weg ohne einen der Eingänge unterbrochen ist, spricht das für ein UND. Ob diese Aussage stimmt, entscheidet die tatsächliche Funktionsweise des Prozesses – nicht die schönere Zeichnung.
Der Lernfall: Zwei Wege zum falschen Anhang
Wir nehmen für einen erfundenen Versandprozess an: Die fachlich gültige Version ist eindeutig festgelegt. Eine Freigabe soll den ausgewählten Anhang mit dieser Version abgleichen und einen falschen Anhang vor dem Versand stoppen. Nach der Freigabe ist jedoch noch ein manueller Austausch des Anhangs möglich. In unserem vereinfachten Modell betrachten wir ausschließlich zwei Fehlerwege.
Weg eins: Falsche Auswahl und wirkungslose Freigabe
Ereignis A lautet: „Vor der Freigabe wird eine veraltete Version ausgewählt.“ Ereignis B lautet: „Die Freigabe erkennt oder stoppt diese falsche Version nicht.“ A allein reicht in unserem Modell nicht: Eine wirksame Freigabe würde den Versand verhindern. B allein reicht ebenfalls nicht: Wenn die richtige Datei ausgewählt ist, entsteht auf diesem Weg kein veralteter Anhang. Der Fehlerweg benötigt daher A UND B.
Weg zwei: Austausch nach dem Kontrollpunkt
Ereignis C lautet: „Nach einer korrekten Freigabe wird der Anhang durch eine veraltete Version ersetzt und ohne erneute Prüfung versendet.“ Dieser Weg umgeht die betrachtete Kontrolle. C beschreibt bewusst den vollständigen Vorgang einschließlich Versand; „Datei geändert“ wäre zu ungenau. C kann das Top-Ereignis ohne A und B auslösen.
Die Kurzform unseres Lernmodells lautet deshalb: Top-Ereignis = C ODER (A UND B). Diese Schreibweise ist eine kompakte Darstellung der zwei beschriebenen Wege, keine Behauptung, dass in einem realen Unternehmen nur diese Fehler möglich sind.
Drei Gegenproben machen die Logik greifbar
Prüfe den Entwurf mit konkreten gedachten Abläufen. Die folgende Übersicht bezieht sich ausschließlich auf den erfundenen Prozess. „Ja“ bezeichnet keine gemessene Häufigkeit, sondern das Ergebnis der angenommenen Logik.
| Gedachter Ablauf | Top-Ereignis? | Begründung |
|---|---|---|
| A tritt auf; Freigabe stoppt den Versand; kein C | Nein | Der UND-Weg ist unterbrochen. |
| A und B treten auf; kein C | Ja | Beide Bedingungen des ersten Wegs liegen vor. |
| Richtige Auswahl und Freigabe; danach C | Ja | Der zweite Weg genügt allein. |
Diese Gegenproben decken eine wichtige Lücke auf: Eine bessere Prüfung vor der Freigabe würde C nicht automatisch verhindern. Für diesen Zweig wäre zu untersuchen, wie Freigabe und tatsächlich versendeter Anhang zusammengehalten werden könnten. Für A und B wäre dagegen die Verbindung aus Auswahl und Kontrolle zu betrachten. Das sind Prüfaufträge, noch keine bestätigten Maßnahmen.
Ein Fehlerbaum ist kein Häufigkeitsranking
In unserem Baum gibt es einen Einzelschritt C und die Kombination A mit B. Das macht die Strukturen unterschiedlich, beweist aber nicht, welcher Weg häufiger oder wichtiger ist. Ohne Beobachtungen darfst Du weder C zur Hauptursache erklären noch aus zwei benötigten Fehlern eine automatisch geringe Wahrscheinlichkeit ableiten.
Auch zwei Kontrollen können dieselbe Schwachstelle teilen. Wenn beispielsweise Auswahl und Prüfung dieselbe veraltete Informationsquelle verwenden, wäre ihre Unabhängigkeit fraglich. Das NASA-Handbuch behandelt solche Abhängigkeiten. Für unsere Lernübung verzichten wir deshalb auf Prozentrechnungen. Eine quantitative Bewertung benötigt geeignete Daten und begründete Annahmen.
Notiere zu jedem Ereignis stattdessen eine überprüfbare Frage: Welche Version lag bei der Auswahl vor? Worauf bezog sich die Freigabe? Welcher Anhang wurde tatsächlich gesendet? In einer realen Analyse wären zulässige Nachweise und fachliche Verantwortlichkeiten vorab zu klären. Die Zeichnung ersetzt diese Untersuchung nicht.
Wo die vereinfachte Analyse endet
Das NASA Software Engineering Handbook zur Fehlerbaumanalyse betont die Bedeutung eines spezifischen Ausgangsereignisses und die Abhängigkeit der Analyse von den gewählten Grenzen und dem fachlichen Urteil. „Prozess funktioniert nicht“ ist entsprechend kein guter Startpunkt für unseren Dokumentenfall.
Unsere drei Ereignisse sind zudem bewusst nicht weiter zerlegt. Warum die falsche Version ausgewählt wird oder die Kontrolle wirkungslos bleibt, wäre eine nächste Untersuchung. Kennzeichne offene Punkte sichtbar. Für sicherheitskritische, rechtlich geregelte oder komplexe Systeme braucht es qualifizierte Fachleute und das jeweils geltende Analyseverfahren; dieser Einstieg liefert dafür keinen Eignungsnachweis.
FAQ zur Fehlerbaumanalyse im Qualitätsmanagement
Muss ein Fehlerbaum Wahrscheinlichkeiten enthalten?
Nein. Schon die qualitative Betrachtung der Fehlerwege kann klären, welche Bedingungen zusammenwirken. Zahlen ohne ausreichende Grundlage machen die Analyse nicht verlässlicher.
Kann ich jedes Ursachenpaar mit ODER verbinden?
Nein. Im Lernfall wäre das bei A und B falsch: Die wirksame Freigabe unterbricht den Weg trotz falscher Auswahl. Die Verbindung muss zur beschriebenen Funktion passen.
Ist ein gezeichneter Fehlerweg bereits bewiesen?
Nein. Unser Beispiel ist erfunden. Für einen betrieblichen Fall müssen Ereignisse, Beziehungen und Grenzen anhand des realen Ablaufs geprüft werden.
Fazit: Die Verbindung ist die eigentliche Aussage
Ein Fehlerbaum macht aus einer Fehlerliste ein überprüfbares Modell: Was genügt allein, was muss zusammenkommen und welcher Kontrollpunkt wird umgangen? Zeichne für die Lernübung die zwei Versandwege und begründe jede Verbindung in einem Satz. So wird sichtbar, ob Du UND und ODER tatsächlich verstanden hast.
Du möchtest Prozessprüfung und Qualitätsarbeit systematisch vertiefen? Informiere Dich über Qualitätsmanager inkl. TÜV-Zertifizierung bei GrandEdu Media. Die öffentlich beschriebene Weiterbildung behandelt unter anderem QM-Grundlagen sowie Messung, Prüfung und Überwachung. Ob Fehlerbaumanalyse in der gewünschten Vertiefung abgedeckt wird, klärst Du vor der Auswahl über den Kontakt zu GrandEdu Media. Ein Kursbesuch garantiert weder einen Abschluss noch eine betriebliche Freigabekompetenz.
Quellen geprüft am 7. Oktober 2026. Der Dokumentenversand ist eine eigene, fiktive Lernübung.