1、第三章 事故树分析,中国地质大学（武汉）安全工程系,安全系统工程,本章的基本要求：1.了解事故树编制方法，并能熟练应用；2.掌握事故树定性分析方法，并根据分析结果，能 够提出控制事故和改进系统安全状况的意见或建议；3.掌握事故树定量分析，如基本事件发生概率和顶上事件发生概率的求取方法，预测事故发生的可能性。 通过重要度分析，能够抓住改善系统安全状况的重要环节，提出有针对性的措施。,安全系统工程,3.1 事故树分析概述,1.事故树分析的基本概念 事故树分析 (Fault Tree Analysis,简称FTA) 是安全系统工程中常用的一种分析方法。1961年,美国贝尔电话研究所的维森 (H.A.
2、Watson)首创了FTA 并应用于研究民兵式导弹发射控制系统的安全性评价中,用它来预测导弹发射的随机故障概率。接着,美国波音飞机公司的哈斯尔 (Hassle) 等人对这个方法又作了重大改进,并采用电子计算机进行辅助分析和计算。 1974 年,美国原子能委员会应用FTA对商用核电站进行了风险评价,发表了拉斯姆逊报告 (Rasmussen Report),引起世界各国的关注。目前事故树分析法已从宇航、核工业进入一般电子、电力、化工、机械、交通等领域,它可以进行故障诊断、分析系统的薄弱环节,指导系统的安全运行和维修,实现系统的优化设计。,安全系统工程,3.1 事故树分析概述(续1),1.事故树分析
3、的基本概念 事故树分析 (FTA) 是一种演绎推理法,这种方法把系统可能发生的某种事故与导致事故发生的各种原因之间的逻辑关系用一种称为事故树的树形图表示,通过对事故树的定性与定量分析,找出事故发生的主要原因,为确定安全对策提供可靠依据,以达到预测与预防事故发生的目的。,安全系统工程,3.1 事故树分析概述(续2),1.事故树分析的基本概念 FTA法具有以下特点:(1)事故树分析是一种图形演绎方法,是事故事件在一定条件下的逻辑推理方法。它可以围绕某特定的事故作层层深入的分析,因而在清晰的事故树图形下,表达系统内各事件间的内在联系,并指出单元故障与系统事故之间的逻辑关系,便于找出系统的薄弱环节。(
4、2)FTA具有很大的灵活性,不仅可以分析某些单元故障对系统的影响,还可以对导致系统事故的特殊原因如人为因素、环境影响进行分析。,安全系统工程,3.1 事故树分析概述(续3),1.事故树分析的基本概念 (3)进行FTA的过程,是一个对系统更深入认识的过程,它要求分析人员把握系统内各要素间的内在联系,弄清各种潜在因素对事故发生影响的途径和程度,因而许多问题在分析的过程中就被发现和解决了,从而提高了系统的安全性(4)利用事故树模型可以定量计算复杂系统发生事故的概率,为改善和评价系统安全性提供了定量依据。,安全系统工程,3.1 事故树分析概述(续4),2.事故树分析步骤(1)准备阶段 确定所要分析的系
5、统。在分析过程中,合理地处理好所要分析系统与外界环境及其边界条件,确定所要分析系统的范围, 明确影响系统安全的主要因素。 熟悉系统。这是事故树分析的基础和依据。对于已经确定的系统进行深入的调查研究,收集系统的有关资料与数据, 包括系统的结构、性能、工艺流程、运行条件、事故类型、维修情况、环境因素等。 调查系统发生的事故。收集、调查所分析系统曾经发生过的事故和将来有可能发生的事故,同时还要收集、调查本单位与外单位、国内与国外同类系统曾发生的所有事故。,安全系统工程,3.1 事故树分析概述(续5),(2)事故树的编制确定事故树的顶事件。确定顶事件是指确定所要分 析的对象事件。 调查与顶事件有关的所
6、有原因事件从人、机、环境 和信息等方面调查与事故树顶事件有关的所有事故原因, 确定事故原因并进行影响分析。 编制事故树。采用一些规定的符号,按照一定的逻辑 关系,把事故树顶事件与引起顶事件的原因事件,绘制成 反映因果关系的树形图。,安全系统工程,3.1 事故树分析概述(续6),(3)事故树定性分析事故树定性分析主要是按事故树结构,求取事故树的 最小割集或最小径集,以及基本事件的结构重要度,根据 定性分析的结果,确定预防事故的安全保障措施。,安全系统工程,3.1 事故树分析概述(续7),(4)事故树定量分析事故树定量分析主要是根据引起事故发生的各基本事 件的发生概率,计算事故树顶事件发生的概率；
7、计算各基 本事件的概率重要度和关键重要度。根据定量分析的结 果以及事故发生以后可能造成的危害,对系统进行风险分 析,以确定安全投资方向。,安全系统工程,3.1 事故树分析概述(续8),(5)事故树分析的结果总结与应用必须及时对事故树分析的结果进行评价、总结,提出 改进建议,整理、储存事故树定性和定量分析的全部资料 与数据, 并注重综合利用各种安全分析的资料,为系统安 全性评价与安全性设计提供依据。,安全系统工程,3.1 事故树分析概述(续9),3.事故树的符号及其意义(1)事件及事件符号 结果事件 结果事件是由其他事件或事件组合所导致的事件,它总是位于某个逻辑门的输出端。用矩形符号表示结果事件
8、,如图 3-la 所示。结果事件分为顶事件和中间事件。,安全系统工程,3.1 事故树分析概述(续10),3.事故树的符号及其意义(1)事件及事件符号1)顶事件。是事故树分析中所关心的结果事件,位于事故树的顶端,总是所讨论事故树中逻辑门的输出事件而不是输入事件,即系统可能发生的或实际已经发生的事故结果。2)中间事件。是位于事故树顶事件和底事件之间的结果事件。它既是某个逻辑门的输出事件,又是其他逻辑门的输入事件。,安全系统工程,3.1 事故树分析概述(续11),3.事故树的符号及其意义(1)事件及事件符号 底事件 底事件是导致其他事件的原因事件,位于事故树的底部,它总是某个逻辑门的输入事件而不是输
9、出事件。底事件又分为基本原因事件和省略事件。,安全系统工程,3.1 事故树分析概述(续12),3.事故树的符号及其意义(1)事件及事件符号 1)基本原因事件。它表示导致顶事件发生的最基本的或不能再向下分析的原因或缺陷事件,用图 3-1b中的圆形符号表示。 2)省略事件。它表示没有必要进一步向下分析或其原因不明确的原因事件。另外,省略事件还表示二次事件,即不是本系统的原因事件,而是来自系统之外的原因事件,用图3-1c 中的菱形符号表示。,安全系统工程,3.1 事故树分析概述(续13),3.事故树的符号及其意义(1)事件及事件符号 特殊事件 特殊事件是指在事故树分析中需要表明其特殊性或引起注意的事
10、件。特殊事件又分为开关事件和条件事件。 1)开关事件,又称正常事件。它是在正常工作条件下必然发生或必然不发生的事件,用图 3-M中房形符号表示。2)条件事件。是限制逻辑门开启的事件,用图 3-1e 中椭圆形符号表示。,安全系统工程,3.1 事故树分析概述(续14),(2)逻辑门及其符号 逻辑门是连接各事件并表示其逻辑关系的符号。与门 与门可以连接数个输入事件 E1 、 E2 , ,En 和一个输出事件 E, 表示仅当所有输入事件都发生时,输 出事件 E 才发生的逻辑关系。或门 或门可以连接数个输入事件 E1 ,E2 , ,En 和 一个输出事件 E, 表示至少一个输入事件发生时,输出事 件 E
11、 就发生。或门符号如图 3-2b 所示。 非门 非门表示输出事件是输入事件的对立事件。,安全系统工程,3.1 事故树分析概述(续15),(2)逻辑门及其符号 特殊门 1)表决门。表示仅当输入事件有 m (mn) 个或 m 个以上事件同时发生时, 输出事件才发生。表决门符号如图3-3a 所示。显然,或门和与门都是表决门的特例。或门是m=1时的表决门;与门是m=n时的表决门。2)异或门。表示仅当单个输入事件发生时,输出事件才发生。异或门符号如图3-3b所示。 3)禁门。表示仅当条件事件发生时,输入事件的发生方导致输出事件的发生。禁门符号如图 3-3c 所示。 4)条件与门。表示输入事件不仅同时发生
12、,而且还必须满足条件A,才会有输出事件发生。条件与门符号如图 3-3d 所示。 5)条件或门。表示输入事件中至少有一个发生,在满足条件 A 的情况下,输出事件才发生。条件或门符号如图 3-3e 所示。,安全系统工程,3.1 事故树分析概述(续16),安全系统工程,3.1 事故树分析概述(续17),(3)转移符号转移符号如图 3-4 所示。转移符号的作用是表示 部分事故树图的转人和转出。当事故树规模很大或整个 事故树中多处包含有相同的部分树图时,为了简化整个树 图,便可用转人( 图a )和转出符号( 图 b)。,安全系统工程,3.2 事故树的编制,事故树编制是FTA中最基本、最关键的环节。编制工
13、作一般应由系统设计人员、操作人员和可靠性分析人员组成的编制小组来完成,经过反复研究,不断深入,才能趋于完善。通过编制过程能使小组人员深入了解系统,发现系统中的薄弱环节, 这是编制事故树的首要目的。事故树的编制是否完善直接影响到定性分析与定量分析的结果是否正确,关系到运用FTA 的成败,所以及时进行编制实践中有效的经验总结是非常重要的。编制方法一般分为两类,一类是人工编制,另一类是计算机辅助编制。,安全系统工程,3.2 事故树的编制(续1),1.人工编制 (1) 编制事故树的规则 确定顶事件应优先考虑风险大的事故事件。 合理确定边界条件。 保持门的完整性, 不允许门与门直接相连。 确切描述顶事件
14、。,安全系统工程,3.2 事故树的编制 (续2),(2) 编制事故树的方法人工编制事故树的常用方法为演绎法,它是通过人的 思考去分析顶事件是怎样发生的。 演绎法编制时首先确 定系统的顶事件, 找出直接导致顶事件发生的各种可能 因素或因素的组合即中间事件。在顶事件与其紧连的中 间事件之间, 根据其逻辑关系相应地画上逻辑门。然后 再对每个中间事件进行类似的分析, 找出其直接原因, 逐级向下演绎, 直到不能分析的基本事件为止。,安全系统工程,3.2 事故树的编制 (续3),2.计算机辅助编制由于系统的复杂性使系统所含部件愈来愈多, 使人工编制事故树费时费力的问题日益突出,必须采用相应的程序,由计算机
15、辅助进行。计算机辅助编制是借助计算机程序在已有系统部件模式分析的基础上,对系统的事故过程进行编辑, 从而达到在一定范围内迅速准确地自动编制事故树的目的。计算机辅助编制主要可分为两类: 一类是 1973 年 Fussell 提出的合成法(STM-Synthetic Tree Method),主要用于解决电路系统的事故树编制问题；另一类是由Apostolakis等人提出的判定表法 (DT-Decision Table)。,安全系统工程,3.2 事故树的编制 (续4),2.计算机辅助编制(1) 合成法 (STM)合成法是建立在部件事故模式分析的基础上,用计算 机程序对子事故树(MFT) 进行编辑的一
16、种方法。合成法 与演绎法的不同点是: 只要部件事故模式所决定子事故 树一定, 由合成法得到的事故树就惟一,所以,它是一种 规范化的编制方法。,安全系统工程,3.2 事故树的编制 (续5),(2) 判定表法判定表法是根据部件的判定表 (DT) 来合成的。判 定表法要求确定每个事件的输入/输出事件 , 即输入/输 出的某种状态。把每个部件的这种输入/输出事件的关系 列成表, 该表称作判定表。一格判定表上只允许有一个 输出事件,如果事件不只一个输出事件,则必须建立多格 判定表。编制时将系统按节点(输入与输出的连接点)划 分开,并确定顶事件及其相关的边界条件。一般认为来自 系统环境的每一个输入事件属于
17、基本事件,来自部件的输 出事件属于中间事件。在判定表都已齐备后, 从顶事件 出发根据判定表中间事件追踪到基本事件为止,这样就制 成所需要的事故树。,安全系统工程,3.2 事故树的编制 (续6),3.编程举例油库燃烧并爆炸是危害性极大的事故,因而可以将 “ 油库燃爆 “ 事故作为事故树的顶事件并编制其事故树。 事故树如图3-5所示,安全系统工程,3.2 事故树的编制 (续7),安全系统工程,3.3 事故树的定性分析,1.结构函数 若事故树有 n 个相互独立的基本事件, Xi 表示基本事件的状态变量, X1仅取 1 或 0 两种状态；表示事故树顶事件的状态变量,也仅取1或0两种状态,则有如下定义：
18、 因为顶事件的状态完全取决于基本事件Xi的状态变量 (i=1, 2, , n), 所以是X的函数, 即： = (X) 其中,X=(X1，X2，Xn), 称(X)为事故树的结构函数。,安全系统工程,3.3 事故树的定性分析 (续1),2.最小割集在事故树中,我们把引起顶事件发生的基本事件的集合称为割集,也称截集或截止集。一个事故树中的割集一般不止一个,在这些割集中,凡不包含其他割集的,叫做最小割集。,安全系统工程,3.3 事故树的定性分析 (续2),3.最小径集在事故树中, 当所有基本事件都不发生时, 顶事件肯定不会发生。然而, 顶事件不发生常常并不要求所有基本事件都不发生, 而只要某些基本事件
19、不发生顶事件就不会发生。这 些不发生的基本事件的集合称为径集, 也称通集或路集。在同一事故树中, 不包含其他径集的径集称为最小径集。如果径集中任意去掉一个基本事件后就不再是径集 , 那么该径集就是最小径集。所以,最小径集是保证顶事件不发生的充分必要条件。,安全系统工程,3.3 事故树的定性分析(续3),4.最小割集和最小径集在事故树分析中的作用(1)最小割集事故树分析中的作用 表示系统的危险性 表示顶事件发生的原因组合 为降低系统的危险性提出控制方向和预防措施 利用最小割集可以判定事故树中基本事件的结构重 要度和方便地计算顶事件发生的概率。,安全系统工程,3.3 事故树的定性分析(续4),(2
20、)最小径集事故树分析中的作用 表示系统的安全性 选取确保系统安全的最佳方案 利用最小径集同样可以判定事故树中基本事件的结构重要度和计算顶事件发生的概率,安全系统工程,3.4 事故树的定量分析,1.基本事件的发生概率(1)系统的单元故障概率基本事件的发生概率包括系统的单元(部件或元件)故 障概率及人的失误概率等,在工程上计算时,往往用基本 事件发生的频率来代替其概率值。 在工程实践中可以通过系统长期的运行情况统计其正 常工作时间、 修复时间及故障发生次数等原始数据, 就可近似求得系统的单元故障概率。,安全系统工程,3.4 事故树的定量分析(续1),(2)人的失误概率 人的失误是另一种基本事件,
21、系统运行中人的失误是 导致事故发生的一个重要原因。人的失误通常是指作业 者实际完成的功能与系统所要求的功能之间的偏差。人 的失误概率通常是指作业者在一定条件下和规定时间内 完成某项规定功能时出现偏差或失误的概率, 它表示人 的失误的可能性大小, 因此, 人的失误概率也就是人的 不可靠度。一般根据人的不可靠度与人的可靠度互补的 规则, 获得人的失误概率。,安全系统工程,3.4 事故树的定量分析(续2),2.顶事件的发生概率(1)状态枚举法顶事件的发生概率P(T)可用下式定义:从式 (3-17) 可看出: 在 n 个基本事件两种状态的 所有组合中,只有当p(X)=1 时,该组合才对顶事件的 发生概
22、率产生影响。所以在用该式计算时,只需考虑 p(X)=1的所有状态组合。首先列出基本事件的状态值 表, 根据事故树的结构求得结构函数p(X)值,最后求出 使p(X)=1的各基本事件对应状态的概率积的代数和,即 为顶事件的发生概率。,安全系统工程,3.4 事故树的定量分析(续3),(2)最小割集法 事故树可以用其最小割集的等效树来表示。这时, 顶 事件等于最小割集的并集。设某事故树有是个最小割集: E1 、 E2 、 Er、 Ek, 则有: 顶事件的发生概率为： 设各基本事件的发生概率为: q1 、 q2 、 qn, 则顶事件的发生概率为:,安全系统工程,3.4 事故树的定量分析(续4),(3)最
23、小径集法 由最小径集的定义可知, 只要 k 个最小径集中有一 个不发生, 顶事件就不会发生, 则: 即： 故顶事件的发生概率为：,安全系统工程,3.4 事故树的定量分析(续5),(4)化相交集为不交集求顶上事件发生概率 某事故树有k个最小割集: El, E2, ,Er, ,EK, 一般情况下它们是相交的, 即最小割集之间可能含有相 同的基本事件。由文氏图可以看出,ErUEs 为相交集合 ,Er + Er,Es 为不相交集合, 如图 3-16 所示。亦即 Er U Es =Er + Er,Es (3-20) 由式 (3-20) 可以推广到一般式: 当求出一个事故树的最小割集后, 可直接运用布尔代
24、数的运算定律及式(3-21) 将相交和化为不交和。,安全系统工程,3.4 事故树的定量分析(续6),(5)顶事件发生概率的近似计算如前所述, 按式(3-48) 和(3-19)计算顶事件发生概 率的精确解。但在许多工程问题中, 这种精确计算是不 必要的, 这是因为统计得到的基本数据往往是不很精确 的,因此, 用基本事件的数据计算顶事件发生概率值时精 确计算没有实际意义。所以, 实际计算中多采用近似算 法。近似计算方法有： 最小割集逼近法 最小径集逼近法 平均近似法 独立事件近似法,安全系统工程,3.5 基本事件的重要度分析,1.基本事件的结构重要度 (1)基本事件的结构重要度系数 基本事件元的结
25、构重要度系数 I(i) 定义为基本事件 的危险割集的总数n(i)与2n-1个状态组合数的比值 , 即:,安全系统工程,3.5 基本事件的重要度分析(续1),(2)基本事件的割集重要度系数设某一事故树有k个最小割集, 每个最小割集记作 Er(r=1,2,k), 则 1/k 表示单位最小割集的重要系 数; 第 r 个最小割集Er中含有mr(Xi Er)个基本事件 , 则 1/ mr(Xi Er) 表示基本事件Xi的单位割集重要 系数。 设基本事件Xi的割集重要系数为 Ik(i), 则:,安全系统工程,3.5 基本事件的重要度分析(续2),2.基本事件的概率重要度基本事件的结构重要度分析只是按事故树
26、的结构分析各基本事件对顶事件的影响程度, 所以, 还应考虑各基本事件发生概率对顶事件发生概率的影响, 即对事故树进行概率重要度分析。 事故树的概率重要度分析是依靠各基本事件的概率重要系数大小进行定量分析。,安全系统工程,3.5 基本事件的重要度分析(续3),3.基本事件的关键重要度当各基本事件发生概率不等时, 一般情况下, 改变概率大的基本事件比改变概率小的基本事件容易, 但基本事件的概率重要度系数并未反映这一事实, 因而它不能从本质上反映各基本事件在事故树中的重要程度。关键重要度分析,它表示第 i 个基本事件发生概率的变化率引起顶事件发生概率的变化率, 因此, 它比概率重要度更合理更具有实际
27、意义。,安全系统工程,3.6 事故树的模块分割和早期不交化,1.事故树的模块分割事故树的模块可以从整个事故树中分割出来,单独 地计算最小割集和事故概率。这些模块的最小割集是众 多基本事件最小割集的分组代表。在原事故树中可用一 个 “准基本事件” 代替分割出来的模块, “准基本事件” 的概率为这个模块的概率。这样经过模块分解后,其规模 比原事故树小,从而减少了计算量,提高了分析效率。 模块分割就是将一复杂完整的事故树分割成数个模 块和基本事件的组合, 这些模块中所含的基本事件不会 在其他模块中重复出现, 也不会在分割后剩余的基本事 件中出现。若分离出的模块仍然较复杂的话, 则可对模 块重复上述模
28、块分割步骤。一般地说, 没有重复事件的 事故树可以任意分解模块以减少规模, 简化计算。,安全系统工程,3.6 事故树的模块分割和早期不交化(续1),2.事故树的早期不交化早期不交化有利于消除重复事件的影响。 所谓事故树的早期不交化, 就是对给定的任一事故树在求解之前先进行不交化, 得到与原事故树对应的不交事故树。不交事故树反映在结构上, 就是对原事故树的结构函数不交化, 得到不交化的结构函数式, 这种分析方法称为事故树的早期不交化。,安全系统工程,3.6 事故树的模块分割和早期不交化(续2),3.不交事故树的编制规则 (1)遇到原事故树中的 “与门”, 其输入、输出均不变; (2)遇到 “或门
29、” 则对其输入进行不交化。,安全系统工程,3.6 事故树的模块分割和早期不交化(续3),4.不交事故树的性质(1)顶事件与基本事件的逻辑关系及其概率特征与原事故树等价(2)展开不交事故树后, 所得到的割集即为原事故树的不交集之和, 这些不交项的概率之和就是顶事件发生的概率 (3)将所得到的割集去补、吸收化简后, 即可得到原事故树的最小割集,安全系统工程,3.7事故树分析的应用实例,用事故树分析法对锅炉超压引起爆炸进行分析，事故树 如图所示。,安全系统工程,3.7事故树分析的应用实例(续1),锅炉超压事故树的成功树如图,安全系统工程,3.7事故树分析的应用实例(续2),结构函数为: 从而得到最小径集为:P1 =X5 P2 =X1, X2, X3,X4 P3 = X6, X7, X8,X9, X10, X11, X12,X13, X14, X15 通过对事故树的定量分析,就可以找出锅炉超压事故的 主要发生原因。,安全系统工程,
