4. 事件树与后果概率计算
事件树的结构与分支逻辑
事件树从初因事件出发，按时间顺序逐层考虑各缓解系统的成功或失败，最终形成若干条后果分支。与故障树“自顶向下找原因”不同，事件树是“自初因向后推后果”，因此它天然适合评估不同缓解措施对后果概率的影响。
本例针对某安全相关系统：初因事件为“工艺管线超压”，依次考虑三层缓解措施——安全阀（RV）、高压联锁（HIPPS）、泄放至火炬（Flare）。每层只有“成功/失败”两种状态，因此理论上形成 2³ = 8 条分支。下面用一棵事件树把分支顺序、后果等级和概率计算路径同时表达出来。
分支概率计算与后果分级
事件树中每条分支的概率等于该路径上所有事件发生概率的乘积。以“RV成功→HIPPS成功→Flare成功”为例：
P(后果A) = P(RV成功) × P(HIPPS成功) × P(Flare成功)
= 0.95 × 0.90 × 0.98
= 0.8379 /年四条分支的概率之和必须等于初因事件频率 1×10⁻² /年，这是事件树计算的基本校验条件。若不等，说明遗漏了分支或概率赋值有误。
| 后果分支 | 路径 | 发生概率（/年） | 后果等级 |
|---|---|---|---|
| A | RV成功 → HIPPS成功 → Flare成功 | 0.8379 | 可接受 |
| B | RV成功 → HIPPS成功 → Flare失败 | 0.0171 | 轻微 |
| C | RV成功 → HIPPS失败 | 0.0950 | 严重 |
| D | RV失败 | 0.0500 | 灾难性 |
缓解措施对后果概率的影响
事件树的核心价值在于量化“如果加强某一层缓解措施，后果概率会怎么变”。下面用参数敏感性的方式评估：假设将 HIPPS 的成功概率从 0.90 提升到 0.99（例如增加冗余传感器或提高联锁测试频率），其他参数不变。
| 后果分支 | 原概率（/年） | HIPPS改进后概率（/年） | 变化量 |
|---|---|---|---|
| A（安全泄放） | 0.8379 | 0.95×0.99×0.98 = 0.9217 | +0.0838 |
| B（火炬过载） | 0.0171 | 0.95×0.99×0.02 = 0.0188 | +0.0017 |
| C（超压未缓解） | 0.0950 | 0.95×0.01 = 0.0095 | −0.0855 |
| D（直接超压） | 0.0500 | 0.0500（不变） | 0 |
关键结论：HIPPS 成功概率从 0.90 提升到 0.99 后，后果 C（严重超压未缓解）的概率从 0.0950 /年降至 0.0095 /年，降幅约 90%。这说明 HIPPS 是当前事件树中对后果 C 影响最大的缓解层。而后果 D 完全由 RV 决定，改进 HIPPS 对其无影响。
事件树与故障树的配合使用
事件树中的每一层“失败”分支，都可以进一步展开为故障树，找出导致该层失效的底事件组合。例如 HIPPS 失败可以展开为“传感器故障”“逻辑 solver 故障”“执行阀故障”等底事件的组合。这种“事件树 + 故障树”的联合分析方法，既能从初因推后果，又能从后果反查原因，是安全完整性等级（SIL）验证中的标准做法。
实操建议：在绘制事件树时，建议按以下顺序确定分支：① 明确初因事件及其频率；② 按时间顺序列出所有缓解层；③ 为每层赋予成功/失败概率（可从历史数据、故障树计算或厂家数据获取）；④ 逐条路径相乘得到分支概率；⑤ 校验所有分支概率之和是否等于初因频率；⑥ 对高后果分支进行敏感性分析，识别最值得加强的缓解层。
注意：事件树中各层缓解措施必须按实际动作顺序排列。如果 HIPPS 在安全阀之前动作，则顺序应调整。顺序错误会导致分支路径和概率计算完全错误。此外，各层之间的成功/失败概率应尽量独立；若存在共因失效（如共用电源、共用传感器），需要在故障树中单独建模共因失效，不能简单相乘。