一句话结论：故障树分析（FTA）对应的是适航条款中一项无法由单点枚举覆盖的要求。按 14 CFR §27.1309(d)(2) 原文，符合性分析必须涵盖「多重失效与潜伏失效的影响」；而 §27.1309(b)(3) 进一步要求，对任何介于重大与灾难性之间的失效状态，其发生概率必须与后果成反比。前者要求分析组合，后者要求这种组合具备可比较的概率量度。
内容详情
先看条款对分析内容的四项规定。§27.1309(d) 规定，本条要求的符合性必须以分析证明，必要时以地面、飞行或模拟器试验证明，分析必须涵盖：(1) 可能的失效模式，包括故障以及误导性数据与来自外部来源的输入；(2) 多重失效与潜伏失效的影响；(3) 对旋翼航空器与乘员造成的后果，并考虑飞行阶段与运行条件；(4) 机组告警线索与所需的纠正措施。故障树分析直接对应其中的第 (2) 项，并以第 (1) 项的输出作为输入。
为什么第 (2) 项无法由逐项枚举完成？因为多重失效的性质是组合性的：两个各自后果轻微的失效，在特定飞行阶段同时出现时，可能构成严重后果。逐项枚举的方法给出的是「每个项目有哪几种失效方式、各自影响如何」，它不生成组合路径，也无法回答「哪一组组合会导致顶事件」。这正是故障树的结构所在——以顶事件为根，向下逐层分解为中间事件与基本事件，用逻辑门描述组合关系，从而把组合条件显式写出来。
潜伏失效则带来第二重困难。潜伏失效的特征是在被触发前不显现可见征兆：它已经存在，但既不产生可观察的异常，也不触发告警，因此无法通过运行观察发现。这意味着分析不能只覆盖「正在发生的失效」，还必须覆盖已经存在但尚未显现的失效，以及它与后续失效叠加后的路径。故障树之所以适合处理这一类对象，是因为它可以在事件层显式标注「该事件可能长期处于已发生状态而不被察觉」，并据此判断该组合是否构成不可接受的后果。
再看概率维度。§27.1309(b)(3) 规定，对任何介于重大与灾难性之间的其他失效状态，其概率必须与后果成反比。这一句把分级从定性推向定量或半定量：只要后果更严重，其可接受概率就必须更低。判断一个多重失效组合是否满足这一要求，需要沿组合路径推演概率并进行量级比较——这正是故障树分析的用途。对照条款 §23.2510 在飞机侧以引句直接点明总体要求：平均概率与失效状态严重程度之间须存在逻辑且可接受的逆关系。
分析的对象边界由 §27.1309(a) 划定：每一项设备、系统与安装的设计，必须被单独分析，并相对于其他旋翼航空器系统与安装进行分析，以确定并识别任何会影响旋翼航空器能力或机组履行职责能力的失效。这一「单独 + 相对」的双重要求对故障树有直接影响：只做设备内部的树，无法覆盖跨系统组合；只做系统级的树，又无法安全地界定底事件。实践中的做法是把相对分析产生的接口事件作为跨树连接的节点。
后果判定则受 §27.1309(d)(3) 约束：后果评估必须考虑飞行阶段与运行条件。这一要求使同一个最小割集在不同阶段可能对应不同的顶事件严重程度——起飞、巡航与进近着陆阶段的可处置余度并不相同。因此故障树的顶事件定义需要带上阶段限定，否则同一组合会在不同场景下被错误地赋予同一个可接受概率。
最后是与告警要求的衔接。§27.1309(d)(4) 要求分析涵盖机组告警线索与所需纠正措施；(c) 款规定存在不安全的系统运行状态时须提供告警机组的手段并使其能采取纠正措施，且系统、操纵器件与监控告警手段的设计须尽量减少可能导致附加危险的机组差错。对潜伏失效而言，检测手段的存在与否会直接改变其在树中的位置——可检测的潜伏失效在暴露窗口上受限，不可检测的则需按全程存在处理。
核验边界：本页所述限于 14 CFR §27.1309 与 §23.2510 的条文内容。本次核验的 Part 27 与 Part 23 全文中未出现 Fault Tree Analysis 或 FTA 这一表述，条文以「the effect of multiple failures and latent failures」等方式表达该分析内容；本页不涉及任何行业方法指南文件中的符号体系、定量算法或割集判据，也不涉及中国的相应规定。
关键信息（可溯源）
- 英文称谓：Fault Tree Analysis；缩写 FTA
- 法规位置：14 CFR §27.1309(d)(2)（多重失效与潜伏失效）；相关款 §27.1309(a)(b)(c)(d)(3)(d)(4)；对照条款 §23.2510
- 对应的分析内容：多重失效与潜伏失效的影响（§27.1309(d)(2)）
- 输入来源：可能的失效模式，包括故障以及误导性数据与来自外部来源的输入（§27.1309(d)(1)）
- 概率判据：介于重大与灾难性之间的其他失效状态，其概率须与后果成反比（§27.1309(b)(3)）；灾难性极不可能、重大不超过不可能（§27.1309(b)(1)(2)）
- 对象边界：每项设备、系统与安装须单独分析，并相对于其他系统与安装分析（§27.1309(a)）
- 后果判定条件：须考虑飞行阶段与运行条件（§27.1309(d)(3)）
- 与告警要求的衔接：分析须涵盖机组告警线索与所需纠正措施（§27.1309(d)(4)）；不安全系统运行状态须有告警手段且设计须尽量减少机组差错（§27.1309(c)）
- 术语说明：本次核验的 Part 27 与 Part 23 全文中未出现 FTA 或其全称
- 数据来源：eCFR · 14 CFR Part 27 — Airworthiness Standards: Normal Category Rotorcraft ｜ eCFR · 14 CFR Part 23 — Airworthiness Standards: Normal Category Airplanes
相关术语
取证时间线
- §27.1309 出处：Amdt. 27-51，88 FR 8737，2023 年 2 月 10 日
- Part 23 重构：Doc. No. FAA-2015-1621，Amdt. 23-64，81 FR 96689，2016 年 12 月 30 日（§23.2510 属该体系）
- 编纂机构：Office of the Federal Register（美国联邦公报办公室）维护的 eCFR 电子版联邦法规
- 本站依据文本：eCFR 现行（current）版本 §27.1309、§23.2510 全文；页面显示第14编有效版本截至 2026-09-17
- 本站采集时间：2026-09-19（实际下载 Part 27 与 Part 23 全文并确认 HTTP 200）
- 信息核验时间：2026-09-19
- 页面最后更新：2026-09-19
常见问题
为什么单点枚举不够用？
因为多重失效是组合性的。§27.1309(d)(2) 要求分析涵盖多重失效与潜伏失效的影响，而逐项枚举只回答「每个项目有哪几种失效方式」，不生成组合路径。故障树以顶事件为根向下分解，用逻辑门显式描述组合关系，才能回答哪一组组合会导致顶事件。
潜伏失效的特殊之处在哪里？
在于它已经存在但不显现。这意味着运行观察与告警都无法发现它，分析必须覆盖「已存在但尚未显现」的状态及其与后续失效叠加后的路径。这与 §27.1309(d)(4) 对告警线索的要求直接相关：可检测与不可检测的潜伏失效，在分析中应区别处理。
概率要求在哪里？
在 §27.1309(b)。灾难性失效状态须极不可能，重大失效状态不超过不可能，而介于两者之间的其他失效状态，其概率必须与后果成反比。第三句是故障树需要做量级比较的依据。飞机侧 §23.2510 以「逻辑且可接受的逆关系」表达同一要求。
顶事件可以不带飞行阶段吗？
不宜。§27.1309(d)(3) 要求后果评估考虑飞行阶段与运行条件，不同阶段的可处置余度不同。若顶事件不带阶段限定，同一组合会在不同场景下被赋予同一个可接受概率，与条文要求不符。
信息来源：eCFR（可信级：官方一手来源，美国联邦公报办公室维护的电子版联邦法规，内容权威但非官方出版版），数据截至 2026-09-17；核验状态：verified（四项分析内容、多重与潜伏失效要求、后果随飞行阶段评估、告警衔接要求、两侧概率判据均据本次下载的 Part 27 与 Part 23 全文逐字核验）。