概率风险基础：事件树、故障树的基本概念、符号、构建方法及定性分析
在安全评价工程实践中，系统风险并非单一故障的简单叠加，而是由初始事件触发、经过一系列安全功能成功或失效的传递链条所决定。事件树分析（ETA）与故障树分析（FTA）正是从正反两个方向刻画这一因果逻辑的核心工具。事件树以“结果导向”的归纳思维，从初始事件出发推演可能的后果场景；故障树则以“原因导向”的演绎思维，从顶事件出发逐层追溯导致其发生的所有基本事件组合。两者结合，构成了概率风险评价（PRA）的完整方法论骨架。本章将系统讲解两种方法的基本概念、标准符号、构建流程与定性分析技术，并通过一个化工储罐泄漏场景的完整案例，展示其在实际评价中的协同应用。
3.1 事件树分析（ETA）的核心原理与构建方法
3.1.1 核心原理：从初始事件到后果场景的归纳推演
事件树分析是一种基于归纳逻辑的定量风险评价方法。其基本思想是：以一个初始事件（Initiating Event, IE）为起点，按照时间顺序或系统响应顺序，依次分析各安全功能（Safety Function, SF）的成功或失效状态，从而形成一条条从初始事件到最终后果的事故序列（Accident Sequence）。每条序列对应一个后果场景，其发生概率等于路径上各分支条件概率的乘积。
事件树的核心价值在于：系统化地揭示“单一初始事件如何演变为多种不同后果”。它特别适用于分析具有多重防护层的系统，如化工装置的安全联锁系统、核电站的专设安全设施、航空航天器的冗余系统等。
3.1.2 事件树的标准符号与构建步骤
事件树构建遵循以下标准流程：
- 确定初始事件（IE）：识别可能引发事故的起点，如管道破裂、设备失效、操作失误等。初始事件应具有明确的物理意义和可统计的发生频率。
- 列出安全功能（SF）：按时间顺序排列所有能够缓解初始事件后果的安全措施，包括自动联锁、手动干预、物理屏障、应急响应等。
- 绘制分支树：每个安全功能节点引出两个分支——成功（上方）与失效（下方）。分支顺序必须严格遵循实际响应的时间逻辑。
- 标注分支概率：为每个分支赋予条件概率值。成功概率记为 \(P(S)\)，失效概率记为 \(P(F)=1-P(S)\)。这些概率通常来源于可靠性数据库（如OREDA、CCPS指南）或专家判断。
- 计算后果概率：每条路径的概率 = 初始事件频率 × 路径上所有分支概率的乘积。
- 后果分类与评价：将各路径后果按严重程度分级（如安全、轻微事故、重大事故），形成风险矩阵。
| 步骤 | 关键动作 | 输出物 | 常见错误 |
|---|---|---|---|
| 1 | 定义初始事件（IE） | IE清单及频率数据 | IE定义过宽或过窄 |
| 2 | 识别安全功能（SF） | SF序列清单 | 遗漏非自动化的手动响应 |
| 3 | 构建分支树 | 事件树图 | 分支顺序与时间逻辑不符 |
| 4 | 赋值分支概率 | 概率数据表 | 使用无条件概率代替条件概率 |
| 5 | 计算路径概率 | 后果序列概率表 | 忽略共因失效的耦合效应 |
3.2 故障树分析（FTA）的核心原理与符号体系
3.2.1 核心原理：从顶事件到基本事件的演绎分解
故障树分析采用演绎逻辑，从最不希望发生的顶事件（Top Event）出发，自上而下逐层分解，找出导致顶事件发生的所有可能的基本事件（Basic Event）组合。故障树用布尔逻辑门（与门、或门、表决门等）连接各事件，形成一棵倒置的树状逻辑图。
故障树的核心价值在于：精确定位系统薄弱环节，识别最小割集（Minimal Cut Set）。最小割集是导致顶事件发生的最少基本事件组合，它直接揭示了系统的单点故障和冗余设计缺陷。
3.2.2 故障树的标准符号
| 符号 | 名称 | 含义 | 示例 |
|---|---|---|---|
| 矩形 | 顶事件 / 中间事件 | 需要进一步向下分解的事件 | “储罐超压爆炸” |
| 圆形 | 基本事件（底事件） | 无需再分解的初始故障 | “安全阀卡涩” |
| 菱形 | 未展开事件 | 信息不足或无需展开的事件 | “人为破坏” |
| 屋形 | 条件事件 | 触发逻辑门成立的条件 | “压力＞设计值” |
| AND门 | 与门 | 所有输入事件同时发生，输出才发生 | 冗余泵均失效 |
| OR门 | 或门 | 任一输入事件发生，输出即发生 | 任一传感器故障 |
| k/n门 | 表决门 | n个输入中至少k个发生，输出才发生 | 3取2逻辑 |
3.2.3 故障树构建流程
- 定义顶事件：顶事件必须是明确、可度量、可分解的。例如“反应釜超压爆炸”比“设备故障”更合适。
- 确定边界条件：明确系统边界、初始状态、不允许考虑的外部事件（如地震、战争）。
- 逐层分解：从顶事件开始，问“什么直接原因会导致该事件发生？”，用逻辑门连接下层事件。每层分解必须遵循MECE原则（相互独立、完全穷尽）。
- 终止分解：当事件达到基本事件（有可靠性数据支撑）或未展开事件（信息不足）时停止。
- 简化与规范化：删除多余逻辑门，合并相同事件，形成规范化故障树。
3.3 定性分析：最小割集与结构重要度
3.3.1 最小割集（Minimal Cut Set）
最小割集是故障树定性分析的核心产出。它定义为：导致顶事件发生所必需的、数量最少的基本事件集合。若从该集合中任意去掉一个基本事件，顶事件就不再发生。最小割集揭示了系统的最薄弱路径。
求解最小割集通常采用下行法（Fussell-Vesely算法）：从顶事件开始，自上而下将逻辑门替换为基本事件的集合。遇到AND门时，将输入事件横向并列；遇到OR门时，将输入事件纵向展开。最终得到布尔表达式，再通过吸收律 \(A \cup (A \cap B) = A\) 化简，得到全部最小割集。
3.3.2 结构重要度分析
结构重要度（Structural Importance）衡量不考虑概率时，各基本事件在故障树结构中的相对重要性。常用计算方法为：
I_Φ(i) = (1/2^(n-1)) × Σ[Φ(X_i=1, X_j) - Φ(X_i=0, X_j)]其中 \(n\) 为基本事件总数，\(\Phi\) 为结构函数。工程上更实用的近似方法是：基本事件出现次数越多、所在割集阶数越低，其结构重要度越高。一阶最小割集（单事件割集）代表单点故障，必须优先治理。
3.4 实战案例：化工储罐液氨泄漏场景的ETA与FTA协同分析
3.4.1 案例背景与初始条件
某化工园区液氨储罐区，单罐容积100m³，操作压力2.5MPa，温度40℃。储罐设有以下安全功能：
- SF1：压力高报警（PHA）联锁关闭进料阀（自动，P成功=0.98）
- SF2：安全阀起跳泄压（自动，P成功=0.95）
- SF3：操作员手动紧急切断（人工，P成功=0.90）
初始事件（IE）为“进料管线法兰垫片老化破裂”，估计频率 \(f_{IE} = 1.0 \times 10^{-2}\) 次/年。
3.4.2 事件树构建与定量计算
按照时间顺序，事件树分支如下：
| 路径 | SF1 (PHA联锁) | SF2 (安全阀) | SF3 (手动切断) | 后果场景 | 概率计算（次/年） |
|---|---|---|---|---|---|
| 1 | 成功 (0.98) | — | — | 安全停车，少量泄漏 | 1.0×10⁻² × 0.98 = 9.8×10⁻³ |
| 2 | 失效 (0.02) | 成功 (0.95) | — | 安全阀泄压，可控排放 | 1.0×10⁻² × 0.02 × 0.95 = 1.9×10⁻⁴ |
| 3 | 失效 (0.02) | 失效 (0.05) | 成功 (0.90) | 操作员手动切断，少量泄漏 | 1.0×10⁻² × 0.02 × 0.05 × 0.90 = 9.0×10⁻⁶ |
| 4 | 失效 (0.02) | 失效 (0.05) | 失效 (0.10) | 大量泄漏，可能形成有毒气云 | 1.0×10⁻² × 0.02 × 0.05 × 0.10 = 1.0×10⁻⁶ |
计算结果显示，最严重事故场景（路径4）的年发生概率为 \(1.0 \times 10^{-6}\) 次/年，处于“可接受风险”与“需进一步降低”的临界区域。
3.4.3 故障树建模与最小割集求解
针对路径4的顶事件“大量液氨泄漏”，构建故障树。顶事件由“超压泄漏”或“直接泄漏”引起，其中“超压泄漏”需同时满足“压力持续升高”与“泄压系统全部失效”。分解后得到基本事件：
- X1：PHA联锁失效（控制器故障）
- X2：进料阀卡涩未关闭
- X3：安全阀整定压力过高
- X4：安全阀堵塞
- X5：操作员未及时响应（培训不足）
- X6：手动阀位置标识不清
布尔表达式化简后得到最小割集：{X1, X2}、{X3, X4}、{X5, X6}。三个割集均为二阶，说明系统不存在单点故障，但每个割集内部的两事件互为冗余。进一步分析发现，X1与X3可能源于同一供应商的仪表批次问题，存在共因失效风险，需在后续定量分析中引入β因子修正。
3.4.4 案例复盘与改进建议
通过ETA与FTA的协同分析，得出以下结论：
- 风险主要贡献路径：路径2（安全阀泄压）贡献了约95%的事故概率，说明安全阀的可靠性对整体风险影响最大。
- 薄弱环节：最小割集{X1, X2}和{X3, X4}均涉及仪表系统，建议增加多样性冗余（如采用不同原理的压力变送器）。
- 管理改进：X5和X6反映人为因素，建议加强操作员应急演练，并优化手动阀标识。
- 共因失效防控：对X1和X3的供应商进行审查，避免同源故障。
3.5 常见误区与总结
| 误区 | 后果 | 正确做法 |
|---|---|---|
| 事件树分支概率使用无条件概率 | 概率计算偏差，高估或低估风险 | 必须使用条件概率 \(P(SF_i | 前序状态)\) |
| 故障树中遗漏共因失效 | 最小割集不完整，低估风险 | 识别共因组，使用β因子或显式建模 |
| 逻辑门使用错误（OR/AND混淆） | 故障树结构错误，分析结论无效 | 严格按物理逻辑判断：并联冗余用AND，串联依赖用OR |
| 忽略人为响应的时间窗口 | 高估手动操作的成功概率 | 结合人因可靠性分析（HRA）数据 |
| 只做定量计算，不做定性分析 | 数据不足时无法推进，且易掩盖结构缺陷 | 先求最小割集，再定量计算 |
事件树与故障树是安全评价人员必须熟练掌握的双刃剑。事件树提供宏观视野，故障树提供微观洞察。在实际工程中，两者常配合使用：先用事件树筛选高风险场景，再用故障树深挖根本原因。掌握本章的符号体系、构建流程和定性分析方法，是后续进行定量概率计算（如蒙特卡洛模拟、马尔可夫分析）的坚实基础。建议学习者在实际项目中反复练习，从简单的两三层事件树开始，逐步过渡到包含数十个基本事件的复杂故障树，最终形成系统化的风险思维。