安全评价讲座 第八讲 故障树分析（Fault Tree Analysis, FTA）
故障树分析（FTA）技术是美国贝尔电话实验室于1962年开发的，它采用逻辑的方法，形象地进行危险的分析工作，特点是直观、明了，思路清晰，逻辑性强，可以做定性分析，也可以做定量分析。体现了以系统工程方法研究安全问题的系统性、准确性和预测性，它是安全系统工程的主要分析方法之一。一般来讲，安全系统工程的发展也是以故障树分析为主要标志的。
1974年美国原子能委员会发表了关于核电站危险性评价报告，即“拉姆森报告”，大量、有效地应用了FTA，从而迅速推动了它的发展。
1 数学基础
1.1基本概念
(1)集：从最普遍的意义上说，集就是具有某种共同可识别特点的项（事件）的集合。这些共同特点使之能够区别于他类事物。
（2）并集
把集合A的元素和集合B的元素合并在一起，这些元素的全体构成的集合叫做A与B的并集，记为A∪B或A＋B。
若A与B有公共元素，则公共元素在并集中只出现一次。
例 若A={a、b、c、d}；
B={c、d、e、f}；
A∪B= {a、b、c、d、e、f}。
（3）交集
两个集合A与B的交集是两个集合的公共元素所构成的集合，记为A∩B或A·B。
根据定义，交是可以交换的，即A∩B=B∩A
例若 A={a、b、c、d}；
B={c、d、e}；
则A∩B={c、d}。
（4）补集
在整个集合（Ω）中集合A的补集为一个不属于A集的所有元素的集。补集又称余，记为A′或A。
1.2 布尔代数规则
布尔代数用于集的运算，与普通代数运算法则不同。它可用于故障树分析，布尔代数可以帮助我们将事件表达为另一些基本事件的组合。将系统失效表达为基本元件失效的组合。演算这些方程即可求出导致系统失效的元件失效组合（即最小割集），进而根据元件失效概率，计算出系统失效的概率。
布尔代数规则如下（X、Y代表两个集合）：
（1）交换律 X·Y=Y·X
X＋Y=Y＋X
（2）结合律 X·（Y·Z）=（X·Y）·Z
X＋（Y＋Z）=（X＋Y）＋Z
（3）分配律 X·（Y＋Z）=X·Y＋X·Z
X＋（Y·Z）=（X＋Y）·（X＋Z）
（4）吸收律 X·（X＋Y）=X
X＋（X·Y）=X
（5）互补律 X＋X′=Ω=1
X·X′=Ф（Ф表示空集）
（6）幂等律 X·X=X
X＋X=X
（7）狄．摩根定律 （X·Y）′=X′＋Y′
（X＋Y）′=X′·Y′
（8）对合律 （X′）′= X
（9）重叠律 X＋X′Y= X＋Y=Y＋Y′X
2 故障树的编制
故障树是由各种事件符号和逻辑门组成的，事件之间的逻辑关系用逻辑门表示。这些符号可分逻辑符号、事件符号等。
2.1故障树的符号及意义
（1） 事件符号
①矩形符号：代表顶上事件或中间事件，见图8－1（a）。是通过逻辑门作用的、由一个或多个原因而导致的故障事件。
②圆形符号：代表基本事件，见图8－1（b）。表示不要求进一步展开的基本引发故障事件。
③屋形符号：代表正常事件，见图8－1（c）。即系统在正常状态下发挥正常功能的事件。
④菱形符号：代表省略事件，见图8－1（d）。因该事件影响不大或因情报不足，因而没有进一步展开的故障事件。
⑤椭圆形符号：代表条件事件，见图8－1（e）。表示施加于任何逻辑门的条件或限制。
(a) (b) (c) (d) (e)
图8－1 事件符号
（2）逻辑符号
故障树中表示事件之间逻辑关系的符号称门，主要有以下几种。
①或门：代表一个或多个输入事件发生，即发生输出事件的情况。或门符号见图8－2（a），或门示意图见图8－3。
图8－2 逻辑符号
图8－3 或门示意图
②与门：代表当全部输入事件发生时，输出事件才发生的逻辑关系。表现为逻辑积的关系。与门符号见图8－2（b），与门示意图见图8－4。
图8－4 与门示意图
③禁门：是与门的特殊情况。它的输出事件是由单输入事件所引起的。但在输入造成输出之间，必须满足某种特定的条件。禁门符号见图8－2（c），禁门示意图见图8－5。
图8－5 禁门示意图
例如 许多化学反应只有在催化剂存在的情况下才能反应完全，催化剂不参加反应，但它的存在是必要的。这种逻辑如图8－6所示。
图8－6 禁门举例
2.2建树原则
故障树的树形结构是进行分析的基础。故障树树形结构正确与否，直接影响到故障树的分析及其可靠程度。因此，为了成功地建造故障树，要遵循一套基本规则。
（1）“直接原因原理”（细步思考法则）
编制故障树时，首先从顶上事件分析，确定顶上事件的直接、必要和充分的原因，应注意不是顶上事件的基本原因。将这直接、必要和充分原因事件作为次顶上事件（即中间事件），再来确定它们的直接、必要和充分的原因，这样逐步展开。这时，“直接原因”是至关重要的。按照直接原因原理，才能保持故障树的严密的逻辑性，对事故的基本原因作详尽的分析。
（2）基本规则Ⅰ
事件方框图内填入故障内容，说明什么样的故障，在什么条件下发生。
（3）基本规则Ⅱ
对方框内事件提问：“方框内的故障能否由一个元件失效构成？”
如果对该问题的回答是肯定的，把事件列为“元件类”故障。如果回答是否定的，把事件列为“系统类”故障。
“元件类”故障下，加上或门，找出主因故障、次因故障、指令故障或其他影响。
“系统类”故障下，根据具体情况，加上或门、与门或禁门等，逐项分析下去。
主因故障为元件在规定的工作条件范围内发生的故障。如：设计压力P0的压力容器在工作压力P≤P0时的破坏。
次因故障为元件在超过规定的工作条件范围内发生的故障。如：设计压力为 ?P0的压力容器在压力P>P0时的破坏。
指令故障为元件的工作是正常的，但时间发生错误或地点发生错误。
其他影响的故障：主要指环境或安装所致的故障，如湿度太大、接头锈死等。
（4）完整门规则
在对某个门的全部输入事件中的任一输入事件作进一步分析之前，应先对该门的全部输入事件作出完整的定义。
（5）非门门规则
门的输入应当是恰当定义的故障事件，门与门之间不得直接相连，门门连接的出现说明粗心。在定量评定及简化故障树时，门门连接可能是对的，但在建树过程中会导致混乱。
2.3故障树分析步骤
（1）确定所分析的系统
确定分析系统即确定系统所包括的内容及其边界范围。
（2）熟悉所分析的系统
指熟悉系统的整个情况，包括系统性能、运行情况、操作情况及各种重要参数等，必要时要画出工艺流程图及布置图。
（3）调查系统发生的事故
调查分析过去、现在和未来可能发生的故障，同时调查本单位及外单位同类系统曾发生的所有事故。
（4）确定故障树的顶上事件
是指确定所要分析的对象事件。将易于发生且后果严重的事故作为顶上事件。
（5）调查与顶上事件有关的所有原因事件。
（6）故障树作图
按建树原则，从顶上事件起，一层一层往下分析各自的直接原因事件，根据彼此间的逻辑关系，用逻辑门连接上下层事件，直到所要求的分析深度，形成一株倒置的逻辑树形图，即故障树图。
（7）故障树定性分析
定性分析是故障树分析的核心内容之一。其目的是分析该类事故的发生规律及特点，通过求取最小割集（或最小经集），找出控制事故的可行方案，并从故障树结构上、发生概率上分析各基本事件的重要程度，以便按轻重缓急分别采取对策。
（8）定量分析
定量分析包括①确定各基本事件的故障率或失误率；②求取顶上事件发生的概率，将计算结果与通过统计分析得出的事故发生概率进行比较。
（9）安全性评价
根据损失率的大小评价该类事故的危险性。这就要从定性和定量分析的结果中找出能够降低顶上事件发生概率的最佳方案。
2.4建树举例
如图8－7所示为一受压容器装置，配有安全阀及压力自控装置。压力容器爆炸故障树分析图示于图8－8。
图8－7 受压容器装置
图8－8 压力容器爆炸故障树分析图
3 故障树定性分析
故障树分析，包括定性分析和定量分析两种方法。在定性分析中，主要包括最小割集、最小径集和重要度分析。限于篇幅，以下仅介绍定性分析中的最小割集和最小径集。
3.1最小割集及其求法
割集：它是导致顶上事件发生的基本事件的集合。最小割集就是引起顶上事件发生必须的最低限度的割集。最小割集的求取方法有行列式法、布尔代数法等。现在，已有计算机软件求取最小割集和最小径集。以下简要介绍布尔代数化简法。
图8－9为一故障树图，以下是用布尔代数化简的过程。
图8－9 故障树
T=A1＋A2
=X1 X2 A3＋X4 A4
=X1 X2 (X1＋X3)＋ X4 (X5＋X6)
=X1 X2 A1＋X1 X2 A3＋ X4 X5＋X4 X6
=X1 X2＋ X4 X5＋X4 X6
所以最小割集为{X1，X2}，{X4，X5}，{X4，X6}。结果得到三个交集的并集，这三个交集就是三个最小割集E1={X1，X2}，E2={X4，X5}，E3={X4，X6}。用最小割集表示故障树的等效图如图8－10。
图8－10 故障树等效树（用最小割表示）
3.2最小径集及其求法
径集：如果故障树中某些基本事件不发生，则顶上事件就不发生，这些基本事件的集合称为径集。
最小径集：就是顶上事件不发生所需的最低限度的径集。
最小径集的求法是利用它与最小割集的对偶性。首先作出与故障树对偶的成功树，即把原来故障树的与门换成或门，而或门换成与门，各类事件发生换成不发生，利用上述方法求出成功树的最小割集，再转化为故障树的最小径集。
例： 将上例中故障树变为成功树
用T'、 A'1、 A'2、 A'3、 A'4、 X'1、 X'2、 X'3、 X'4、X'5、 X'6表示事件T、 A1、 A2 、A3、 A4、 X1、 X2、 X3、 X'4、X5、 X6的补事件,即成功事件；逻辑门作相应转换，如图8－11。
用布尔代数化简法求成功树的最小割集：
T'= A'1 ·A'2
=(X'1＋A'3＋X'2)·(X'4＋A'4)
=(X'1＋X'2＋X'1 X'3)·(X'4＋ X'5 X'6)
=(X'1＋X'2)·(X'4＋ X'5 X '6)
=X'1 X'4＋ X'1 X'5 X'6＋X'2 X'4＋ X'2 X'5 X'6
成功树的最小割集：{X'1，X'4}{X'1，X'5，X'6}{X'2，X'4}{X'2，X'5，X'6}。
即故障树的最小径集：
P1={X1，X4} P2={X1，X5，X6}
P3={X2，X4} P4={X2,X5，X6}
如将成功树布尔化简的最后结果变换为故障树结构，则表达式为
T=(X1＋X4)( X1＋X5＋X6)( X2＋X4)(X2 ＋ X5＋X6)形成了四个并集的交集，如用最小径集表示故障树则如图8－12所示。
图8－12 故障树的等效树（用最小径集表示）
3.3最小割集和最小径集在故障树分析中的应用
（1）最小割集表示系统的危险性
求出最小割集可以掌握事故发生的各种可能，了解系统的危险性。
每个最小割集都是顶上事件发生的一种可能，有几个最小割集，顶上事件的发生就有几种可能，最小割集越多，系统越危险。
从最小割集能直观地、概略地看出，哪些事件发生最危险，哪些稍次，哪些可以忽略，以及如何采取措施，使事故发生概率下降。
例：共有三个最小割集{X1} 、{X2，X3} 、{X4，X5，X6，X7 ，X8}，如果各基本事件的发生概率都近似相等的话，一般地说，一个事件的割集比两个事件的割集容易发生，五事件割集发生的概率更小，完全可以忽略。
因此，为了提高系统的安全性，可采取技术、管理措施以便使少事件割集增加基本事件。
就以上述三个最小割集的故障树为例。可以给一事件割集{X1}增加一个基本事件X9，例如：安装防护装置或采取隔离措施等，使新的割集为{X1、X9}。这样就能使整个系统的安全性提高若干倍，甚至几百倍。若不从少事件割集入手，采取的措施收效不大。
假设上述例中各事件概率都等于0.01，即q1= q2=q3=q4=q5=q6=q7=q8=q9=0.01。
在未增加X9以前顶上事件发生的概率约为0.0101，而增加X9后概率近似为0.0002，使系统安全性提高了50倍，在可靠性设计中常用的冗长技术就是这个道理。注意，以上是各事件概率相等时采取的措施。采取防灾措施必须考虑概率因素，若X1的发生概率极小，就不必考虑{X1}了。
（2）最小径集表示系统的安全性
求出最小径集可以了解到，要使顶上事件不发生有几种可能的方案，从而为控制事故提供依据。
一个最小径集中的基本事件都不发生，就可使顶上事件不发生。故障树中最小径集越多，系统就越安全。
从用最小径集表示的故障树等效图可以看出，只要控制一个最小径集不发生，顶上事件就不发生，所以可以选择控制事故的最佳方案，一般地说，对少事件最小径集加以控制较为有利。
（3）利用最小割集、最小径集进行结构重要度分析。
（4）利用最小割集、最小径集进行定量分析和计算顶上事件的概率等。