风险分析方法

1 . 故障树分析（FTA）

故障树分析（FTA）是风险分析的一种方法，可进行定量和定性的分析。这里仅就FTA方法简单作以介绍，读者可由GJB/Z 768A—98《故障树分析指南》（参考文献 [ 3]）中了解更详细的资料。

1．1 FTA中使用的符号

故障树是一种特殊的倒立树状逻辑因果关系图，用表示事件的符号、逻辑门符号描述系统中各种事件之间的因果关系。逻辑门的输入事件是输出事件的“因”，逻辑门的输出事件是输入事件的“果”。

（1）表示事件的符号主要有（见图4）：

 底事件（导致其他事件的原因事件）包括“基本事件”（无须探明其发生原因的底事件）及“未探明事件”（暂时不必或不能探明其原因的底事件）

 结果事件（由其它事件或事件组合所导致的事件），包括“顶事件”（所关心的最后结果事件）及“中间事件”（位于底事件和顶事件之间的结果事件，它既是某个逻辑门的输出事件，同时又是别的逻辑门的输入事件）

此外还有开关事件、条件事件等特殊事件符号。

底事件

结果事件

基本事件符号 未探明事件符号 顶事件符号 中间事件符号

图4 几个主要表示事件的符号

（2） 逻辑门符号：在FTA中逻辑门只描述事件间的因果关系。与门、或门和非门是三个基本门，其它的逻辑门如“表决门”、“异或门”、“禁门”等为特殊门。

1．2 FTA的步骤

（1） 建造故障树

将拟分析的重大风险事件作为“顶事件”，“顶事件”的发生是由于若干“中间事件”的逻辑组合所导致，“中间事件”又是由各个“底事件”逻辑组合所导致。这样自上而下的按层次的进行因果逻辑分析，逐层找出风险事件发生的必要而充分的所有原因和原因组合，构成了一个倒立的树状的逻辑因果关系图。

例如，对上述飞机例中的机翼重量这个风险事件进行分析：“重量”为顶事件，可能使飞机的速度达不到预期的要求；造成超重的原因可能是“材料”的问题，或“设计”未满足重量的预期值的要求；造成“设计”问题的原因（假设）是设计“人员”只注意靠增加发动机的能力来提高速度，未考虑重量的影响，而同时也未按设计控制“程序”的要求进行认真的评审、未能及时发现问题。“设计”即为中间事件，而“人员”、“程序”及“材料”即为底事件。根据逻辑关系画出故障树如图5

重量 T

+=

材料

设计 M

人员

程序

图5 故障树（示例）

则 事件 T = X1∪ M = X1 ∪（X2∩X 3）

符号 “ ∪” 表示 逻辑“或” ；“∩”表示逻辑“与”

这只是建造故障树的一个简单的例子，实际情况要复杂得多。除用人工演绎建造故障树外还可用计算机进行自动建树。

人工建造故障树的基本规则如下：

 明确建树的边界条件，确定简化系统图

 顶事件应严格定义

 故障树演绎过程首先寻找的是直接原因而不是基本原因事件

 应从上而下逐级建树

 建树时不允许逻辑门——逻辑门直接相连

 妥善处理共因事件

（2） 对故障树进行规范化、简化和模块分解 +

. X1

X2 X3 a）将建造好的故障树简化变成规范化故障树，“规范化故障树”是仅含底事件、结果事件及“与”、“或”、“非”三种逻辑门的故障树。

故障树的规范化的基本规则为：

 按规则处理未探明事件、开关事件、条件事件等特殊事件

 保持输出事件不变、按规则将特殊门等效转换为“与”、“或”、“非”门

b) 按集合运算规则（结合律、分配律、吸收律、幂等律、互补律）去掉多余事件和多余的逻辑门。

c) 将已规范化的故障树分解为若干模块，每个模块构成一个模块子树，对每个模块子树用一个等效的虚设的底事件来代替，使原故障树的规模减少。可单独对每个模块子树进行定性分析和定量分析。然后，可根据实际需要，将顶事件与各模块之间的关系转换为顶事件和底事件之间的关系。

（3）求故障树的最小割集，进行定性分析

“割集”指的是故障树中一些底事件的集合，当这些底事件同时发生时顶事件必然发生。若在某个割集中将所含的底事件任意去掉一个，余下的底事件构不成割集了（不能使顶事件必然发生），则这样的割集就是“最小割集”。最小割集是底事件的数目不能再减少的割集，一个最小割集代表引起故障树顶事件发生的一种故障模式。

a）求最小割集

求最小割集的方法有“下行法” 和“上行法”：

 下行法的特点是根据故障树的实际结构，从顶事件开始，逐级向下寻查，找出割集。规定在下行过程中，顺次将逻辑门的输出事件置换为输入事件。遇到与门就将其输入事件排在同一行（布尔积），遇到或门就将其输入事件各自排成一行（布尔和），直到全部换成底事件为止。这样得到的割集再两两比较，划去那些非最小割集，剩下的即为故障树的全部最小割集。

 上行法是从底事件开始，自下而上逐步地进行事件集合运算，将或门输出事件表示为输入事件的布尔和，将与门输出事件表示为输入事件的布尔积。这样向上层层代入，在逐步代入过程中或者最后，按照布尔代数吸收律和等幂律来化简，将顶事件表示成底事件积之和的最简式。其中每一积项对应于故障树的一个最小割集，全部积项即是故障树的所有最小割集。

b）定性分析：

找出故障树的所有最小割集后，按每个最小割集所含底事件数目（阶数）排序，在各底事件发生概率都比较小，差别不大的条件下：

 阶数越少的最小割集越重要

 在阶数少的最小割集里出现的底事件比在阶数多的最小割集里出现的底事件重要

 在阶数相同的最小割集中，在不同的最小割集里重复出现次数越多的底事件越重要。

例如，一个故障树有4个最小割集：

{ X1}，{ X2，X 5 }，{ X3，X 5}，{ X2 ，X3 ，X4}

底事件X1 最重要，X 5 比X2 、X3 重要，X 4 最不重要；

底事件的重要程度依次为X1 ，X 5 ， X2 或X3 ，X 4 。

在数据不足的情况下，进行上述的定性比较，找出了顶事件（风险事件）的主要致因，定性的比较结果可指示改进系统的方向 。

（4）定量分析：

在掌握了足够数据的情况下，可进行定量的分析。

a）顶事件发生概率（失效概率）的计算

在掌握了“底事件”的发生概率的情况下，就可以通过逻辑关系最终得到“顶事件”即所分析的重大风险事件的发生概率，用Pf表示，又称为“失效概率”。故障树顶事件T发生概率是各个底事件发生概率的函数，即

Pf（T）= Q（q1 , q2 ,……， qn）

（式1）

工程上往往没有必要精确计算，采用近似的计算方法一般可满足工程上的要求。例如，当各个最小割集中相同的底事件较少且发生概率较低时，可以假设各个最小割集之间相互独立，各个最小割集发生（或不发生）互不相关，则顶事件的发生概率：

r

Pf（T）= 1 —  [ 1 — P（Ki）]

（式2）

i=1

式中 r 为最小割集数

在飞机重量风险事件的例子中，假设底事件X1，X2，X 3 的发生概率分别是q1 , q2 及 q3 ，顶事件T的发生概率Pf 为 ：

Pf = 1 —（1 — q1 ）（1 — q2 q3）

（式3）

b）重要度的计算

故障树中各底事件并非同等重要，工程实践表明，系统中各部件所处的位置、承担的功能并不是同等重要的，因此引入“重要度”的概念，以标明某个部件（底事件）对顶事件（风险）发生概率的影响大小，这对改进系统设计、制定应付风险策略是十分有利的。对于不同的对象和要求，应采用不同的重要度。比较常用的有四种重要度，即：结构重要度、概率重要度、相对概率重要度及相关割集重要度。各自的定义及计算公式见参考文献[3]。

 底事件结构重要度从故障树结构的角度反映了各底事件在故障树中的重要程度

 底事件概率重要度表示该底事件发生概率的微小变化而导致顶事件发生概率的变化率

 底事件的相对概率重要度表示该底事件发生概率微小的相对变化而导致顶事件发生概率的相对变化率

 底事件的相对割集重要度表示包含该底事件的所有最小割集中至少有一个发生的概率与顶事件发生概率之比

定量的分析方法需要知道各个底事件的发生概率，当工程实际能给出大部分底事件的发生概率的数据时，可参照类似情况对少数缺乏数据的底事件给出估计值；若相当多的底事件缺乏数据且又不能给出恰当的估计值，则不适宜进行定量的分析，只进行定性的分析。

2． 故障模式影响及危害性分析（FMECA）

故障模式即故障表现的形式，例如短路、断路（开路）、断裂等。

故障模式影响及危害性分析（FMECA）是确定系统所有可能的故障，根据对每一个故障模式的分析，确定每一个故障对系统工作的影响，找出单点故障，并按故障模式的严酷度及其发生概率确定其危害性。FMECA分两个步骤完成，即：

 故障模式及影响分析（FMEA）

 危害性分析（CA）

2．1 FMECA使用的几个术语

（1）约定层次

根据分析的需要，按产品的相对复杂程度或功能关系划分产品层次，这些层次从比较复杂的（系统）到比较简单的（零件）进行划分。

 初始约定层次：要进行FMECA总的、完整的产品所在的层次。

 其它约定层次：相继的约定层次（第二、第三、第四等），这些层次表明了直至较简单的组成部分的有顺序的系列。

（2）严酷度

严酷度是故障模式所产生后果的严重程度。严酷度应考虑到故障造成的最坏的潜在后果，并应根据最终可能出现的人员伤亡、系统损坏和经济损失的程度来确定。

严酷度的分类

 Ⅰ类（灾难的）—— 这是一种会引起人员死亡或系统（如飞机、坦克、导弹及船舶等）毁坏的故障

 Ⅱ类（致命的）——这种故障会引起人员的严重伤害、重大经济损失或导致任务失败的系统严重损坏

 Ⅲ类（临界的）——这种故障会引起人员的轻度伤害、一定的经济损失或导致任务延误或降级的系统轻度损坏  Ⅳ类（轻度的）——这是一种不足以导致人员伤害、一定的经济损失或系统损坏的故障，但它会导致非计划性维护或修理

（1） 危害性

危害性是对某种故障模式的后果及其发生概率的综合度量。可进行定性的分析，相关数据具备的情况下可定量分析。

2．2 故障模式及影响分析（FMEA）

进行FMEA的目的是为了分析产品故障对系统工作所产生的后果，并将每一故障按其严酷度分类，通过FMEA来确定那些高风险产品及改进措施。

2．2 . 1 FMEA的方法

有两种FMEA的方法：硬件法及功能法

 硬件法：根据产品的功能对每个故障模式进行评价，用表格列出各个产品，并对可能发生的故障模式及其影响进行分析。当产品可按设计图纸及其它工程设计资料明确确定时，一般采用硬件法。这种方法适用于从零件级开始分析再扩展到系统级，即自下而上进行分析。

 功能法：这种方法认为每个产品可以完成若干功能，而功能可以按输出分类。将输出一一列出，并对它们的故障模式进行分析。当产品构成尚不能明确确定时（例如，在产品研制的初期，尚得不到详细的产品原理图、部件清单及产品装配图），或当产品的复杂程度要求从初始约定层次开始向下分析，即自上而下分析时，一般采用功能法。

2．2 . 2 FMEA的步骤

FMEA一般按下列步骤进行（详细说明请见参考文献[4] GJB 1391 —92《故障模式影响及危害性分析程序》）：

（1）定义被分析的系统（包括系统的每项任务、每一任务阶段及每一种工作方式相对应的功能的详细说明、内部和外部接口、各约定层次的预期性能、系统限制及故障判据的说明）；

（2）绘制功能和可靠性方框图；

（3）确定产品及接口设备所有潜在故障模式，并确定其对相关功能或产品的影响，以及对系统和所需完成任务的影响；