1. 课程导入与稀有失效事件界定
在可靠性工程与风险分析中，我们习惯用历史数据说话：某型号轴承运行十万小时出现若干次失效，于是算出失效率；某批次阀门在三年内发生泄漏，于是估计泄漏概率。但当失效事件本身极其罕见时，这套"数一数、除一除"的直觉会迅速失效。本课程讨论的正是这类问题——稀有失效事件的概率估计。它广泛出现在核电、航空、化工、医疗器械、轨道交通等高可靠性领域，是安全评估、设计验证与监管决策的共同基础。
什么是稀有失效事件
稀有失效事件可以界定为：在给定任务时间或运行剖面下，发生频率极低、但一旦发生后果严重，且历史观测数据不足以支撑直接频率统计的失效事件。这个定义包含三个不可分割的要素，缺一不可。
第一是低频。典型量级在每年 10⁻³ 至 10⁻⁶ 次，甚至更低。这意味着即使一个系统有上千台在役设备，运行数年也未必能观测到一次目标失效。第二是高后果。低频本身并不构成问题，真正驱动分析需求的是后果——人员伤亡、重大环境释放、关键功能丧失或巨大经济损失。第三是数据稀缺。这是最本质的特征：由于低频，直接观测样本极少，经典频率估计的置信区间会宽到失去决策价值。
举个具体例子。某安全联锁回路要求按需失效概率低于 10⁻⁴。若现场有 200 套同类回路，每年每套被要求动作 2 次，则年需求次数约 400 次。要观测到 10 次失效（勉强支撑粗略统计），按 10⁻⁴ 的真实概率需要约 25 万年。显然，靠现场记录等不到数据。这就是稀有失效事件的核心困境：我们必须在几乎没有直接观测的条件下给出可辩护的概率数值。
典型特征与常见失效的区别
把稀有失效与常见失效放在一起对比，能更清楚地看出方法上的分水岭。常见失效如电子元器件老化、机械磨损、软件缺陷触发，通常有较多样本，失效率可通过现场统计或加速寿命试验直接估计，浴盆曲线、威布尔分布等工具适用良好。稀有失效则不同：它的发生往往由多重条件同时满足触发，涉及共因、人因、设计缺陷等难以重复观测的因素，样本量常为零或个位数。
更关键的区别在于推断逻辑。常见失效走的是"数据驱动"路线：观测—拟合—外推。稀有失效必须走"知识驱动"路线：把设计原理、物理机理、试验证据、运行经验、专家判断整合起来，构造一个可追溯的概率模型。这也是本课程反复强调的：稀有失效概率估计不是统计学的简单应用，而是证据综合的工程活动。
为什么不能"拍一个数"
实践中常见两种错误倾向。一种是把稀有失效概率当成普通失效率，用少量数据硬套指数分布，得到一个看似精确却毫无根据的数值，比如"根据 3 次失效估计失效率为 2×10⁻⁵/小时"。另一种是干脆回避，用"极低""可忽略"等定性表述代替定量分析。前者掩盖了不确定性，后者无法支撑设计比较与监管审查。正确的做法是：明确给出概率的点估计、不确定性区间，以及支撑该估计的全部假设与证据链，使结论可复核、可更新。
以安全仪表功能为例，按需失效概率通常划分为 SIL 1 至 SIL 4 四个等级，对应 10⁻¹～10⁻²、10⁻²～10⁻³、10⁻³～10⁻⁴、10⁻⁴～10⁻⁵ 四个区间。注意每个等级跨越一个数量级——这本身就说明，稀有失效估计的合理精度是"数量级正确"，而非小数点后多位。理解这一点，能帮助我们在数据不足时把精力放在证据质量和假设合理性上，而不是虚假的数值精度。
本课程的知识框架
围绕"如何在数据稀缺条件下给出可辩护的概率"，本课程组织为四个相互衔接的部分。
- 基础与界定：稀有失效的定义、特征、与常见失效的区别，以及概率论与可靠性基础概念的澄清，包括频率与概率、按需失效与运行失效、独立性与共因的区分。
- 数据与证据处理：零失效数据的处理、贝叶斯方法中先验的构造与更新、证据权重分配，以及专家判断的结构化获取方法。
- 建模与估计方法：故障树与事件树、可靠性框图、马尔可夫方法、贝叶斯网络，以及针对共因失效、人因失效的专门模型。
- 验证、应用与沟通：不确定性量化、敏感性分析、模型验证与同行评审，以及如何向设计、管理与监管方清晰表达结论及其局限。
学习目标相应地分为三层。知识层：能准确判断一个失效事件是否属于稀有失效，并说明其数据条件。方法层：能针对给定场景选择合适的估计方法，完成从证据收集到概率输出的完整推理，并识别关键假设。应用层：能对估计结果做敏感性分析，判断结论在何种条件下成立，并以规范方式表达不确定性。