Mở đầu — vì sao bài này quan trọng
Trong giai đoạn Analyze của một dự án Lean Six Sigma, bạn đã làm quen với nhiều công cụ tìm nguyên nhân gốc rễ như Fishbone, 5 Whys hay Pareto. Những công cụ đó rất mạnh khi bạn muốn động não rộng và sắp xếp ý tưởng. Nhưng có một loại bài toán mà chúng tỏ ra hơi "lỏng": khi sự cố mang tính hệ thống, có nhiều điều kiện phải đồng thời xảy ra hoặc chỉ cần một trong nhiều điều kiện xảy ra là toàn bộ hệ thống sập. Đó là lúc bạn cần một công cụ tư duy có cấu trúc logic chặt chẽ hơn: Fault Tree Analysis (FTA) — Phân tích cây sự cố.
FTA xuất phát từ ngành hàng không vũ trụ và hạt nhân thập niên 1960 (Bell Labs phát triển cho dự án tên lửa Minuteman của Không quân Mỹ), nơi mà một sai sót có thể trả giá bằng sinh mạng. Chính vì vậy nó được thiết kế để trả lời một câu hỏi rất cụ thể: "Sự kiện tồi tệ này có thể xảy ra theo những cách kết hợp nào, và xác suất của nó là bao nhiêu?". Đây là tư duy suy diễn từ trên xuống (top-down deductive) — ngược với cách FMEA suy diễn từ dưới lên (xem Bài 29). Với một Green Belt, biết dùng FTA giúp bạn xử lý những sự cố phức tạp, hiếm gặp nhưng hậu quả nghiêm trọng, đặc biệt trong an toàn lao động, vận hành thiết bị, và quy trình dịch vụ có rủi ro cao như y tế hay tài chính. Hiểu FTA cũng giúp bạn tự tin hơn khi đối thoại với kỹ sư độ tin cậy (reliability engineer) hay đội an toàn trong nhà máy.
Khái niệm cốt lõi
FTA là gì
FTA là một sơ đồ logic dạng cây, bắt đầu từ một sự kiện đỉnh (Top Event) — chính là sự cố không mong muốn mà bạn muốn ngăn chặn — rồi phân rã dần xuống các nguyên nhân trực tiếp, rồi nguyên nhân của nguyên nhân, cho đến khi chạm tới các sự kiện cơ bản (Basic Events) không thể (hoặc không cần) phân tích nhỏ hơn nữa. Các nhánh được nối với nhau bằng những cổng logic (logic gates) mô tả mối quan hệ giữa nguyên nhân con và kết quả cha.
Hãy nhớ ba từ khóa: top-down (từ đỉnh xuống), deductive (suy diễn — đi từ kết quả tìm ngược nguyên nhân), và Boolean logic (logic AND/OR).
Các ký hiệu cơ bản
Để đọc và vẽ được cây sự cố, bạn cần thuộc một bộ ký hiệu chuẩn:
- Cổng AND (AND gate) — hình giống cái vòm tròn ở trên. Đầu ra (sự kiện cha) chỉ xảy ra khi TẤT CẢ các đầu vào bên dưới đồng thời xảy ra. Đây là cổng của sự an toàn: muốn sự cố xảy ra phải có nhiều lớp cùng thất bại. Về xác suất: P(out) = P(A) × P(B) (giả định độc lập). Vì các xác suất đều nhỏ hơn 1, nhân lại sẽ cho số rất nhỏ — đó là lý do "nhiều lớp bảo vệ" giúp hệ thống an toàn hơn.
- Cổng OR (OR gate) — hình giống cái khiên có đáy cong. Đầu ra xảy ra khi CHỈ CẦN MỘT trong các đầu vào xảy ra. Đây là cổng của sự mong manh: chỉ một mắt xích đứt là cả hệ thống sập. Về xác suất xấp xỉ: P(out) ≈ P(A) + P(B) − P(A)×P(B), và với xác suất nhỏ có thể ước lượng gần bằng P(A) + P(B).
- Sự kiện cơ bản (Basic Event) — hình tròn. Là nguyên nhân gốc, không phân tích sâu hơn, thường có dữ liệu xác suất đi kèm (ví dụ tỷ lệ hỏng của một van).
- Sự kiện trung gian (Intermediate Event) — hình chữ nhật. Là sự cố được tạo ra bởi các sự kiện thấp hơn thông qua một cổng logic.
- Sự kiện chưa khai triển (Undeveloped Event) — hình thoi/kim cương. Nguyên nhân có tồn tại nhưng thiếu dữ liệu hoặc không đáng để khai triển thêm.
- Sự kiện điều kiện (Conditioning Event) — hình bầu dục, đi kèm cổng đặc biệt như INHIBIT.
Minimal Cut Set — khái niệm "đắt giá" nhất
Khi cây đã vẽ xong, bạn tìm các minimal cut set — tức là tập hợp nhỏ nhất các sự kiện cơ bản mà nếu tất cả chúng cùng xảy ra thì Top Event chắc chắn xảy ra. Một cut set chỉ có một phần tử (single-point failure) là điểm yếu chí mạng cần ưu tiên xử lý ngay. Cut set có nhiều phần tử thì an toàn hơn vì cần nhiều thứ cùng hỏng. Đây chính là cầu nối giữa FTA và hành động cải tiến: bạn dồn nguồn lực vào triệt tiêu các single-point failure trước.
Tình huống thực tế
Ví dụ 1 — Nhà máy điện tử ở KCN Yên Phong, Bắc Ninh: dừng dây chuyền SMT
Một nhà máy lắp ráp bo mạch (giả định, lấy bối cảnh các nhà cung ứng quanh khu Samsung Bắc Ninh) gặp Top Event: "Dây chuyền SMT dừng đột ngột quá 30 phút" — mỗi lần dừng thiệt hại khoảng 45 triệu đồng tiền sản lượng mất.
Đội Green Belt vẽ cây sự cố. Ngay dưới Top Event là một cổng OR với ba nhánh: (1) Mất nguồn điện, (2) Lỗi máy gắp linh kiện (pick-and-place), (3) Hết nguyên liệu giữa ca. Vì là cổng OR nên chỉ cần một trong ba xảy ra là dây chuyền dừng — giải thích vì sao sự cố này xảy ra khá thường xuyên.
Phân rã tiếp nhánh "Mất nguồn điện" bằng một cổng AND: phải đồng thời "Mất điện lưới EVN" VÀ "Máy phát dự phòng không khởi động" thì dây chuyền mới thực sự mất nguồn. Dữ liệu: P(mất điện lưới) ≈ 0,02/ca; P(máy phát không khởi động) ≈ 0,1. Vì là cổng AND, xác suất nhánh này chỉ còn 0,02 × 0,1 = 0,002 — khá thấp nhờ có máy phát.
Khi tính minimal cut set, đội phát hiện nhánh "Hết nguyên liệu giữa ca" là một single-point failure: chỉ một sự kiện cơ bản — "feeder báo hết liệu nhưng không có cảnh báo sớm" — là đủ làm dừng dây chuyền, với tần suất cao nhất (0,15/ca).
Bài học: thay vì đầu tư thêm máy phát điện thứ hai (xử lý nhánh đã an toàn nhờ AND), đội tập trung vào single-point failure — lắp hệ thống cảnh báo mức nguyên liệu sớm 15 phút. Tần suất dừng dây chuyền giảm 60% chỉ sau một tháng. FTA giúp họ phân bổ tiền đúng chỗ.
Ví dụ 2 — Bệnh viện tư tại TP.HCM: sự cố sai thuốc cho bệnh nhân
Một bệnh viện (bối cảnh tương tự hệ thống Vinmec trong Bài 59) chọn Top Event: "Bệnh nhân nhận sai thuốc" — một sự cố hiếm nhưng hậu quả có thể nghiêm trọng về pháp lý và tính mạng.
Đội phân tích thấy ngay dưới đỉnh là một cổng AND gồm hai điều kiện: "Đơn thuốc bị kê sai hoặc phát sai" VÀ "Khâu kiểm tra ba bước (3-check) tại giường không phát hiện được". Đây là tin tốt: vì có cổng AND, hệ thống đã có hai lớp bảo vệ, sai sót đơn lẻ chưa đủ gây hại.
Tuy nhiên khi khai triển nhánh "Khâu 3-check không phát hiện", họ lại gặp một cổng OR: điều dưỡng bỏ qua bước check VÌ (quá tải ca trực) HOẶC (mã vạch thuốc bị mờ không quét được) HOẶC (phần mềm e-MAR treo). Cổng OR cho thấy lớp bảo vệ thứ hai thực ra khá mong manh — có tới ba cách để nó thất bại.
Bài học: FTA chỉ ra rằng lớp phòng vệ tưởng vững (3-check) lại có ba điểm yếu OR bên trong. Đội ưu tiên xử lý "mã vạch mờ" (rẻ và nhanh: thay máy in nhãn) và "phần mềm treo" (nâng cấp server), biến lớp bảo vệ thứ hai thành thực sự đáng tin cậy. Đây là minh họa kinh điển cho việc kết hợp AND ở tầng trên và OR ở tầng dưới.
Ví dụ 3 — Ngân hàng số: gián đoạn cổng thanh toán
Một ngân hàng số (bối cảnh fintech Đông Nam Á như một ví điện tử tại Việt Nam) đặt Top Event: "Khách hàng không thực hiện được giao dịch chuyển khoản trong giờ cao điểm".
Cây sự cố có một cổng OR lớn ở tầng đầu: "Core banking quá tải" HOẶC "Kết nối tới NAPAS lỗi" HOẶC "App phía khách lỗi". Nhánh "Core banking quá tải" được khai triển bằng cổng AND: phải vừa "Lượng giao dịch vượt 200% dự báo" VÀ "Hệ thống auto-scaling không kích hoạt" thì core mới sập.
Tính toán: P(vượt tải) ≈ 0,05 vào ngày lương; P(auto-scaling lỗi) ≈ 0,08. Cổng AND cho ra 0,004 — đủ thấp. Nhưng minimal cut set chỉ ra "Kết nối NAPAS lỗi" là single-point failure độc lập, P ≈ 0,03, và không có hệ thống dự phòng.
Bài học: đội triển khai cơ chế failover cho kết nối liên ngân hàng (thêm một lớp để biến OR đơn lẻ thành AND có dự phòng). FTA giúp ban lãnh đạo nhìn thấy rõ rủi ro tập trung ở đâu và justify ngân sách đầu tư hạ tầng dự phòng.
Hướng dẫn từng bước
Bước 1 — Định nghĩa rõ Top Event. Phải cụ thể, đo lường được, gắn với một ranh giới hệ thống và một mốc thời gian. "Máy hỏng" là quá mơ hồ; "Bơm P-101 ngừng cấp nước làm mát quá 5 phút trong ca sản xuất" mới đủ chặt. Top Event mơ hồ là sai lầm phá hỏng cả cây.
Bước 2 — Xác định ranh giới và giả định. Bạn phân tích trong phạm vi nào? Bỏ qua những yếu tố nào (thiên tai, phá hoại)? Ghi rõ để cây không phình vô tận.
Bước 3 — Phân rã tầng đầu tiên. Hỏi: "Những nguyên nhân trực tiếp NÀO có thể gây ra Top Event?". Quyết định mối quan hệ giữa chúng là AND (phải cùng xảy ra) hay OR (chỉ cần một). Đây là bước cần kỷ luật logic nhất.
Bước 4 — Tiếp tục phân rã từng nhánh xuống các tầng sâu hơn, mỗi lần lại chọn cổng logic phù hợp, cho tới khi chạm sự kiện cơ bản hoặc sự kiện chưa khai triển (thiếu dữ liệu).
Bước 5 — Gán xác suất cho các sự kiện cơ bản nếu có dữ liệu (từ lịch sử hỏng hóc, MTBF của thiết bị, log sự cố). Nếu không có số, FTA vẫn dùng được ở dạng định tính.
Bước 6 — Tìm minimal cut set. Liệt kê mọi tổ hợp tối thiểu các sự kiện cơ bản đủ gây Top Event. Đánh dấu ngay các single-point failure (cut set một phần tử).
Bước 7 — Tính xác suất Top Event từ dưới lên: cổng AND thì nhân, cổng OR thì cộng (xấp xỉ với xác suất nhỏ).
Bước 8 — Ưu tiên hành động. Tấn công single-point failure trước, rồi tới các cut set có xác suất cao. Mỗi cải tiến hoặc loại bỏ một sự kiện cơ bản, hoặc thêm một lớp bảo vệ (biến OR thành AND). Đây là điểm kết nối tự nhiên sang giai đoạn Improve.
Lỗi thường gặp & mẹo
Nhầm AND với OR. Đây là lỗi chết người và phổ biến nhất. Hãy tự kiểm tra: "Sự cố cha có xảy ra không nếu CHỈ MỘT đầu vào xảy ra?" — nếu có thì là OR; nếu phải cần tất cả mới xảy ra thì là AND. Vẽ sai cổng làm sai toàn bộ tính toán xác suất và dẫn tới quyết định đầu tư sai.
Top Event quá rộng hoặc quá nhiều. Một cây chỉ nên có một Top Event. Nếu bạn có nhiều sự cố quan tâm, hãy vẽ nhiều cây riêng. Đừng nhồi tất cả vào một sơ đồ rồi rối tung.
Dừng phân rã quá sớm hoặc quá sâu. Dừng quá sớm thì không chạm tới nguyên nhân thực sự có thể hành động; phân rã quá sâu thì tốn công vô ích. Quy tắc: dừng khi tới mức bạn có dữ liệu xác suất hoặc tới mức có thể ra hành động sửa chữa cụ thể.
Lẫn lộn FTA với Fishbone. Fishbone (Bài 22) là động não rộng, không có logic AND/OR và không tính xác suất. FTA chặt chẽ về logic và định lượng. Dùng Fishbone để liệt kê nguyên nhân tiềm năng, rồi dùng FTA khi cần phân tích quan hệ logic và rủi ro của sự cố nghiêm trọng. Chúng bổ trợ chứ không thay thế nhau.
Bỏ qua nguyên nhân chung (common cause failure). Hai nhánh tưởng độc lập có thể cùng hỏng vì một lý do chung (ví dụ cùng mất điện làm hỏng cả thiết bị chính lẫn thiết bị dự phòng). Khi đó phép nhân của cổng AND không còn đúng. Hãy luôn hỏi: "Có gì khiến hai nhánh này cùng hỏng một lúc không?".
Mẹo: vẽ cây cùng đội liên phòng ban, đừng ngồi một mình. Người vận hành thực tế thường biết những single-point failure mà kỹ sư trên giấy không ngờ tới. Và hãy đặt tên rõ ràng cho từng cổng, đánh số tầng để dễ rà soát lại.
Bài tập thực hành
Bài 1 — Đọc cây. Cho Top Event "Khách hàng không rút được tiền tại cây ATM". Tầng đầu là cổng OR gồm: (A) ATM hết tiền, (B) Mất kết nối mạng, (C) Thẻ khách bị lỗi. Hãy giải thích bằng lời tại sao đây phải là cổng OR chứ không phải AND, và chỉ ra sự kiện nào có khả năng là single-point failure.
Bài 2 — Chọn cổng. Với mỗi tình huống sau, xác định nên dùng AND hay OR: (a) Bình chữa cháy chỉ vô dụng khi vừa hết áp suất vừa vòi bị tắc; (b) Đơn hàng giao trễ nếu kho soạn chậm hoặc shipper kẹt xe; (c) Hệ thống báo cháy im lặng khi cả đầu báo khói lẫn đầu báo nhiệt đều hỏng.
Bài 3 — Tính xác suất. Một cổng AND có hai sự kiện cơ bản P(A)=0,03 và P(B)=0,2. Tính xác suất đầu ra. Sau đó giả sử cùng hai sự kiện này nối qua cổng OR, ước lượng xác suất đầu ra. So sánh và rút ra nhận xét về vai trò của lớp bảo vệ dự phòng.
Bài 4 — Vẽ cây của bạn. Chọn một sự cố thật trong công việc hiện tại của bạn (ví dụ "Báo cáo cuối tháng nộp trễ"). Định nghĩa Top Event cho thật cụ thể, phân rã ít nhất hai tầng với đúng cổng AND/OR, và chỉ ra một single-point failure cùng đề xuất một hành động cải tiến.
Tóm tắt
Fault Tree Analysis là công cụ suy diễn top-down giúp bạn truy ngược từ một sự cố nghiêm trọng (Top Event) xuống các nguyên nhân cơ bản, nối với nhau bằng logic Boolean. Hai cổng cốt lõi: AND (mọi đầu vào phải cùng xảy ra — nhân xác suất, tượng trưng cho nhiều lớp bảo vệ) và OR (chỉ cần một đầu vào — cộng xác suất, tượng trưng cho điểm mong manh). Sản phẩm quan trọng nhất của FTA là minimal cut set và việc nhận diện single-point failure — nơi bạn nên dồn nguồn lực cải tiến trước tiên.
Khác với Fishbone hay 5 Whys vốn thiên về động não, FTA mang lại cấu trúc logic chặt và khả năng định lượng rủi ro, nên đặc biệt phù hợp với những sự cố hiếm gặp nhưng hậu quả lớn trong nhà máy, bệnh viện, ngân hàng. Với một Green Belt, nắm vững FTA giúp bạn phân tích sâu trong giai đoạn Analyze và bắc cầu trực tiếp sang các hành động Improve có trọng tâm và có cơ sở dữ liệu rõ ràng.