系统安全分析汇总

第三章安全分析

本章学习目标

1. 掌握系统安全分析的定义、内容和系统安全分析方法选择的基本原则。

2. 熟悉几种常用的定性和定量的系统安全分析方法的基本功能、特点和原理。

3. 掌握几种系统安全分析方法的分析过程、格式、计算方法。

4. 了解各种定性和定量方法之间的区别和联系。

系统安全分析方法是安全系统工程的重要组成部分，是对系统存在的危险性进行定性和定量分析的基本方法。系统安全分析的方法有数十种之多，应根据实际的条件和需求选择相应的分析类型和分析方法。本章的主要内容是掌握各种系统安全分析的方法以及各种分析方法的概念、内容、应用范围和适用性。每一种分析方法都将从基本概念、特点、格式、分析程序以及应用实例等几个方面入手，进行系统地学习，学习思路如图3-1所示。

图3-1 系统安全分析学习思路和内容

3.1 概述

系统安全分析（system safety analysis）是从安全角度对系统进行的分析，它通过揭示可能导致系统故障或事故的各种因素及其相互关联来辨识系统中的危险源，以便采取措施消除或控制它们。系统安全分析是系统安全评价的基础，定性的系统安全分析是定量的系统安全评价的基础。

系统安全分析的目的是为了保证系统安全运行，查明系统中的危险因素，以便采取相应措施消除系统故障和事故。

一、系统安全分析的内容

系统安全分析从安全角度对系统中的危险因素进行分析，分析导致系统故障或事故的各种因素及其相互关系。主要包括以下6个方面的内容。

（1）对可能出现的、初始的、诱发的以及直接引起事故的各种危险因素及其相互关系进行分析。

（2）对系统有关的环境条件、设备、人员及其他有关因素进行分析。

（3）对能够利用适当的设备、规程、工艺或材料控制或根除某种特殊危险因素的措施进行分析。

（4）对可能出现的危险因素的控制措施及实施这些措施的最佳办法进行分析。

（5）对不能根除的危险因素，失去或减少控制措施可能出现的后果进行分析。

（6）对危险因素一旦失去控制，为防止伤害和损伤的安全防护措施进行分析。

二、系统安全分析的方法

系统安全分析的方法可运用于不同的系统安全分析过程，常用的有以下几种方法。

（1）安全检查表法（Safety Check List，简称SCL）

（2）预先危险性分析(Preliminary Hazard Analysis，简称PHA)

（3）故障类型和影响分析（Failure Modes and Effects Analysis，简称FMEA）

（4）危险性和可操作性研究（Hazard and Operability Analysis，简称HAZOP）

（5）事件树分析（Event Tree Analysis，简称ETA）

（6）事故树分析（Fault Tree Analysis，简称FTA）

（7）因果分析（Cause-Consequence Analysis，简称CCA）

这些方法可以按分析过程的相对时间进行分类；也可以按分析的对象和分析的内容进行分类。为了使大家有比较清晰的认识，我们将按照数理方法、逻辑方法和分析过程进行分类。

1. 按数理方法分类

按照数理方法进行分类，可以分为定性分析和定量分析2种。

（1）定性分析法

定性分析是对引起系统事故的影响因素进行非量化的分析，只进行可能性的分析或作出事故能否发生的感性判断。安全检查表、预先危险性、危险性和可操作性分析等属于定性分析方法。

（2）定量分析法

定量分析是在定性分析的基础上，运用数学方法分析系统事故及影响因素之间的数量关系，对事故的危险作出数量化的描述和判断。故障类型与影响分析（危险度）、事件树分析、事故树分析、因果分析等属于定量分析方法。

2. 按逻辑方法分类

按照逻辑方法分类，可以分为归纳法和演绎法2类。

（1）归纳法

归纳法是从事故发生的原因推论事故结果的方法，通过对基本事件的分析，来总结和确定系统的安全状态。安全检查表、预先危险性、故障类型与影响分析、危险性和可操作性分析、事件树分析等，都属于归纳法。这种方法从故障或失误出发，探讨可能导致的事故或系统故障，从而确定危险源。

归纳法的优点是可以无遗漏的考察、辨识系统中的所有危险源。缺点是对于复杂的系统或危险源很多的系统，分析工作量大，没有重点。

（2）演绎法

演绎法是从事故结果推论事故原因的方法，通过系统发生的事故类型和性质，去探寻导致系统发生事故的原因。事故树分析、因果分析等属于演绎法。这种方法从事故或系统故障出发，即从危险源出发，查找与事故（或故障）有关的危险因素。演绎法的优点是可以把注意力集中在有限的范围内，提高工作效率。缺点是对于遗漏的危险源（或未知危险源）可能造成的事故无法分析。

3. 按事件的过程分类

按照事故的过程和环境的变化进行分类，可以分为静态分析方法和动态分析方法2类。

（1）静态分析法

静态分析是对系统事故危险的分析不能反映出事故过程和环境变化的特点。安全检查表、预先危险性分析、故障类型及影响分析、危险性和可操作性分析、事故树分析等属于静态分析法。

（2）动态分析法

动态分析是指对系统事故危险的分析能够反映出事故过程和环境变化的特点。事件树分析、因果分析等属于动态分析法。

综上所述，表3-1给出了各种系统安全分析方法的归属。

表3-1 危险性分析方法分类

危险分析方法安全检

查表

预先危险

性分析

故障类型

和影响分

析

危险性和

可操作性

研究

事件树

分析

事故树

分析

因果

分析

归纳法√√√√√

演绎法√√

定性法√√√√√√√

定量法√√√√

静态法√√√√√

动态法√√

三、系统安全分析方法的选择

首先，要考虑系统所处的寿命阶段。在系统寿命不同阶段的危险因素辨识中，选择相应的方法。例如，在系统的开发设计初期，应优先选择预先危险性分析方法，对系统中可能出现的安全问题进行分析。在系统的运行阶段，选择危险性和可操作性方法、故障模型和影响分析等进行较为详细的分析。还可以选择事件树分析、事故树分析、因果分析等对系统的安全性进行进一步的定量分析。表3-2给出了系统寿命期间各阶段可供参考的系统安全分析方法。

表3-2 系统安全分析方法的适用情况

分析方法开发

研究

方案

设计

样机

详细

设计

建造

投产

日常

运行

改建

扩建

事故

调查

拆除

检查表√√√√√√√预先危险性分析√√√√√

危险性与可操作性研

究

√√√√√

故障类型和影响分析√√√√√

事故树分析√√√√√√

事件树分析√√√√

因果分析√√√√√

其次，针对系统的复杂程度、规模、工艺类型、操作类型来选择具体的系统安全分析方法。例如，对于化工工艺过程，可以选择危险性与可操作性分析。对于机械和电气过程的危险性分析，可以选择故障类型和影响分析。由单一故障引起的事故，选择危险性与可操作性分析。由许多因素共同引起的事故，选择事故树、

事件树分析。危险性高的系统，选择危险性与可操作性分析、故障类型与影响分析、事件树、事故树等方法。危险性较低的系统，选择安全检查表法进行分析。

3.2 安全检查表

一、基本概念

安全检查表是根据有关安全规范、标准、制度以及其它系统安全分析方法分析的结果，对一个系统或设备进行安全检查和安全诊断，找出各种不安全因素，以提问的方式把这些不安全因素按照其重要程度编制成表格，这种安全检查的专用表格称之为安全检查表。安全检查表是实施安全检查和安全诊断的项目明细表，是安全检查结果的备忘录。

安全检查表的优点是完整、直观、清楚、简单、易控制，为事故后果模拟提供统计依据。其缺点是对于复杂系统工作量大，不能定量分析。

二、安全检查表的格式

安全检查表必须包括系统的全部主要检查部位，不能忽略主要的和潜在的不安全因素，应从检查部位中引申和发掘与之有关的其它潜在危险因素。检查表格式包括分类、项目、检查要点、检查情况与处理、检查日期以及检查者等。检查要点以提问方式列出，检查情况用“是”和“否”或用“ ”和“ ”表示。安全检查表的格式如表3-3所示。

四、安全检查表的编制程序

安全检查表的编制流程示意图如图3-2所示。

图3-2 安全检查表的编制流程示意图

编制安全检查表的过程，也是对系统进行安全分析的过程.因此，在安全检查表的制定过程中，要根据有关规程或标准，并总结本单位和外单位的经验。同时，可以借鉴其它系统安全分析方法的分析结果，使得安全检查表能够真正地用于事故预防与控制，成为一种科学化管理简单易行的基本方法。

六、应用实例

例1 某型飞机前轮转弯系统的安全检查表

表3-4给出了某型飞机前轮转弯系统的安全检查表。

表3-4 某型飞机前轮转弯系统的安全检查表

序号检查部位及内容标准要求依据标准检查结果（是/

否）

改进措施负责人

1 限流器完好，可靠设计标准××条

2 减压器完好，可靠设计标准××条

3 电磁开关完好，可靠设计标准××条

4 摩擦离合器完好，可靠设计标准××条

5 前轮转弯活门滑轮完好，可靠设计标准××条

6 换向滑轮完好，可靠设计标准××条

7 左操纵滑轮完好，可靠设计标准××条

8 微动开关完好，可靠设计标准××条

9 控制开关完好，可靠设计标准××条

10 自动保护开关完好，可靠设计标准××条

11 右操纵滑轮完好，可靠设计标准××条

12 右操纵手轮完好，可靠设计标准××条

13 同轴转接滑轮完好，可靠设计标准××条

14 新增换向滑轮完好，可靠设计标准××条

15 左操纵手轮完好，可靠设计标准××条

检查日期：××××年××月××日××时检查者：×××

3.3 预先危险性分析

一、基本概念

预先危险性分析又称初步危险性分析，是指在没有掌握详细的资料的时候，用来辨识和分析系统中潜在的危险和有害因素，确定危险等级，并制定相应的安全对策措施，防止事故的发生。尽可能在付诸实践时找出错误，控制或消除危险。

预先危险性分析是在系统开发初期阶段和设计阶段对系统中存在的危险类别、形成条件、事故后果等进行安全分析识别，常用于新系统设计、已有系统改造之前的方案设计以及选址阶段的方案设计等。

二、预先危险性分析的特点

（1）预先危险性分析在系统开发的初期就可以识别、控制危险因素，用最小的代价和成本消除或减少系统中的危险因素。

（2）该分析方法简单、经济、有效。

（3）能为项目开发组分析和设计提供指南。

三、预先危险性分析的步骤

预先危险性分析包括准备、审查和结果汇总3个阶段。

（1）准备阶段

对系统进行分析之前，要收集资料，借鉴类似系统的安全检查表和相关资料。要弄清楚系统的功能、结构、采用的工艺过程、选用的设备、相关物资和材料等。

（2）审查阶段

通过对方案设计、工艺、设备、场所、物质、环境因素、运行、试验、维修、应急、辅助设备、安全装备等的安全审查，辨别危险因素，确定风险等级。根据审查结果，危险等级分为4级，如表3-5所示。

表3-5 危险等级划分

危险等级 状态 特征和要求

Ⅰ级 安全的 暂时不能发生事物，可以忽略

Ⅱ级 临界的 有导致事故的可靠性，事故处于临界状态，可能造成人员伤亡和财产损失，应采取措施予以控制

Ⅲ级 危险的 可能导致事故发生，造成人员伤亡或财产损失，必须采取措施进行控制

Ⅳ级

灾难的

会导致事故发生，造成人员伤亡或财产巨大损失，必须立即设法清除

（3）结果汇总阶段

汇总审查结果，根据风险等级，按轻重缓急制定风险控制措施。内容包括事故及其产生原因、可能后果、危险性级别、应采取的措施等。

四、预先危险性分析的基本格式

预先危险性分析的基本格式如表3-6所示，格式可以根据需要加以增删和调整。

表3-6 预先危险性分析的基本格式

五、预先危险性分析的程序

预先危险性分析的程序如图3-3所示。

图3-3 预先危险性分析的程序

3.4 故障类型和影响分析

一、基本概念

（1）故障（Failure）

系统、子系统或元件在运行的过程中，由于性能低劣而不能完成规定功能时，称故障发生。

（2）故障类型（Failure Mode）

由不同故障机理显现出来的各种故障现象的变现形式。一个元件或系统可以有多种故障类型。

（3）故障等级（Failure Classification）

根据故障类型对系统或子系统影响的程度不同而划分的等级。

（4）故障影响（Failure Effect）

某种故障类型对系统、子系统、单元的操作、功能或状态所造成的影响。

（5）故障严重度（Severity）

考虑故障所能导致的最严重的潜在后果，并以伤害程度、财产损失或系统永久破坏加以度量。

（6）故障类型与影响分析（Failure Modes and Effects Analysis）

采用系统分割的概念，根据实际需要分析的水平，把系统分割成子系统或进一步分割成元件。然后逐个分析元件可能发生的故障和故障类型（状态），再分析故障类型对系统以及整个系统产生的影响，最后采取措施加以解决。

故障类型和影响分析是对系统各组成部分、元件进行分析的重要方法。系统的子系统在运行过程中会发生故障。查明各类故障对邻近子系统或元件的影响，以及组中对系统的影响，以及消除或控制的措施。这种系统安全分析方法属于归纳方法，早期的故障类型和影响分析只能做定性分析，后来在分析中引入了故障发生难易程度的评价或发生的概率，再将之与致命度分析（Critical Analysis）结合起来，构成故障类型和影响、危险度分析（FMECA）。如果确定了每个元件的故障发生概率，就可以确定设备、系统或装置发生的概率，就可以定量的描述故障的影响。

二、故障类型与影响分析的特点

（1）不仅对系统的各个元件的故障进行分析，而且对其影响进行分析，有重点地解决安全问题。

（2）适用于系统危险性分析的各个阶段。

（3）既可以应用于简单系统，又可以用于复杂系统的分析。

三、故障类型与影响分析的格式

表3-8给出了故障类型与影响的格式。

表3-8 故障类型及影响格式

四、故障类型与影响分析的分析程序

故障类型和影响分析通常包括以下5个方面的内容。 （1）掌握和了解所要分析的对象系统。

（2）对系统元件的故障类型和产生原因进行分析。一种元件至少有4种故障类型，即意外运行、运行不准时、停止不及时和运行期间故障。在进行元素故障类型分析时，该元素可能是其他元素故障的原因，也可能是导致重大故障或事故的原因。

（3）分析故障类型对系统和元件的影响，重点分析元素故障类型对相邻元素的影响，元素故障类型对整个系统的影响，元素故障类型对子系统及周围环境的影响。

（4）汇总结果，提出改正措施。 （5）列表。

图3-5给出了故障类型与影响分析程序。

图3-5 故障类型与影响分析程序

五、应用实例

例3 空气压缩机故障类型与影响分析

空气压缩机是在土木工程的道桥工程、地下工程等施工时常用的动力设备，储气罐属于一种易出事故的高压容器。表3-9给出了空气压缩机储气罐的故障类型及影响分析结果。

明确系统组成；确定系统得界限；

确定元素的初始状态；收集系统及元素的资料

根据经验和试验经验确定已有元素的故障类型；参考类似元素故障类型确定新元素；可靠性分析确定新元素 对相邻元素的影响；对整个系统的影响； 对邻近系统的影响；对周围环境的影响

故障类型与影响分析在航空领域得到了广泛的应用。20世纪50年代初，美国第一次将FMEA 思想用于一种战斗机操作系统的设计分析中。60年代中期，FMEA 正式用于航天系统的设计。1976年，美国国防部颁布了FMEA 军用标准。1988年，美国联邦航空局发布通报要求所有航空系统得设计和分析必须使用FMEA 。1994年，FMEA 成为QS-9000的认证要求。FMEA 在实践中形成了完整科学的分析方法。目前，航空领域广泛应用该方法进行诸如发动机、油箱、起落架等设计的危险性分析。

六、故障类型及其影响和危险度（致命度）分析

将故障类型及影响分析和危险度分析相结合，便可以从定性分析发展到定量分析，称为故障类型及其影响和危险度分析。这种方法在分析时，首先进行故障类型及其影响分析。根据分析结果，再输入各种故障的危险度指标，即可得到定量的危险分析。危险度分析的目的在于定量地评价每种组成元素故障类型的危险程度，危险度分析有以下2种方法。

1. 采用2项指标的危险度分析

采用的2项指标分别为元素故障类型出现的概率和故障后果的严重度。表3-10和表3-11分别给出了美国杜邦公司的严重度分级和概率值。

表3-10 危险发生等级和概率标准

发生等级 非常容易发

生 容易发生 偶尔发生 不常发生 几乎不发

生 很难发生 发生概率

1×10-1

1×10-2

1×10-3

1×10-4

1×10-5

1×10-6

表3-11 危险等级划分及校正措施

危险度 大（危险） 中（临界） 小（安全） 校正措施 立即停止作业

及时检修

注意观察

2. 采用1项指标的危险度分析

采用元素运行百万小时（次）发生的故障次数来衡量危险度C ，计算公式如下所示。

()

∑=??????=n

j t k k C 1

62110λβα (3-1)

式中，n ——导致系统故障或事故的故障类型的数目；

T ——元素的运行时间； Λ——元素的基本故障率； k 1·k 2——实际运行状态的修正系数和实际运行环境的修正系数；

α——导致系统故障或事故的故障类型数目占全部故障类型数目的比例；

β——导致系统故障或事故的故障类型出现时，系统发生故障或事故的概率。表3-12给出了β的可参考值。

表3-12 β的参考值

影响程度实际的损失可预计的损失可能出现的损失没有影响

发生概率（β）β=1.00 0.1 ≤β< 1 0 < β< 0.1 β= 0

3. 应用实例

例4 民用运输机起落架系统故障分析

（1）背景资料：中国民航四川省航空公司维护信息统计，起落架系统故障约占飞机总故障的7.2%，其中2%左右的故障引起重要事件。波音公司提供的事故和征候统计，起落架故障占15%~17%。空客公司提供的事故和征候统计，起落架故障占12.1%。

（2）以波音飞机起落架故障类型为例，进行故障类型与影响分析。

1）找出故障分布和故障类型

起落架的故障分布主要在构件损伤、轮胎组件、收放系统、前轮转弯系统和刹车系统等方面。其中构件主要指结构受力件，如起落架舱门拉杆、摇臂、锁钩、扭力臂接耳、连接螺栓、起落架支柱外筒、动作筒接头等。

表3-13给出了故障分布和故障类型。

表3-13 故障分布和故障类型

故障分布构件损伤轮胎组件收放系统前轮转弯系统刹车系统

故障类型（%）

构件断裂

（24.6）

构件松脱（5.2）

构件磨损（2.2）

轮胎爆裂

（14.9）

胎面分离

（13.4）

组件脱落（8.2）

着陆放不下

（3.7）

接地收起（3.0）

离地收不上

（1.5）

操纵失效（9.0）

机轮摆动（3.0）

其它（4.5）

刹车起火（6.0）

机轮卡滞（0.7）

2）针对每一个故障类型分别进行影响分析（部分）

表3-14给出了故障类型的影响分析。

表3-14 故障类型的影响分析

组成元素故障类型故障原因故障影响故障识别校正措施

收放系统动作筒接头漏油压力波动热胀

冷缩

接头疲劳破损发生

事故

维修使用更好的材料，缩

短更换时间

轮速传感器工作不正

常电子插件、线路

环境适应性差

防滞故障维修使用更好的材料

3）进行定量分析

输入定量的数据，如故障概率、严重度等，计算影响的程度。

3.5 危险性和可操作性分析

一、基本概念

危险性和可操作性分析（简称HAZOP）是指应用系统的审查方法，审查设计已有生产工艺和工程总图，通过对装置、设备、个别部位的误操作或故障引起的潜在危险进行分析，评价其对整个延续性生产系统的影响。与其他分析方法不同的是，该分析方法由多人组成小组。实质是对系统的工艺进行全面审查，找出可能偏离设计意图的情况。分析产生的原因和造成的结果，予以控制。这种方法既适用于设计阶段，又适用于在役的生产装置。在应用过程中，经常用到以下专用术语。

（1）意图

意图是指所研究系统的工艺的某一部分欲完成的功能。在很多情况下，这种意图通过流程图来描述。

（2）偏离

偏离是指背离设计意图，与设计意图不一致。在分析过程中，需正确地运用引导词，系统地审查系统的工艺参数，找出偏离的情况。

（3）原因

此处的原因是指引起偏离的原因，这些原因可能是物的故障、人的失误、成分变化等意外的工艺状态和外界的破坏等。

（4）后果

此处的后果是指偏离系统设计意图所造成的结果。

（5）工艺参数

此处的工艺参数是指有关系统工艺的物理和化学特性，包括一般参数，如反应、混合、浓度、pH值等，还包括特殊参数，如温度、压力、相态、流量等。当系统工艺的某个部分或某个操作步骤的工艺参数偏离了设计意图时，系统的运行状态必然发生变化，从而造成系统的故障或引起事故。

（6）引导词

引导词是指在辨识危险源过程中，引导、启发人的思维，对设计意图定性或定量描述的简单词语。

表3-15给出了HAZOP分析方法中引导词的意义和注释。

表3-15 引导词的意义和注释

引导词意义注释

没有或不是对意图的完全否定意图的任何部分都没有达到，也没有其他事情发生

较多量的增加原有量的正增值，或原有活动的增加

较少量的减少原有量的负增值，或原有活动的减少

也，又量的增加与某些附加活动一起，达到全部设计或操作意图

部分量的减少只达到一些意图，没达到另一些意图

反向与意图相反与意图相反的活动或物质

不同于完全替代没有任何部分达到意图

非发生完全意外的事情

引导词是与工艺参数相结合，从而得到偏离状况。例如表3-16给出了引导词应用的例子。

表3-16 引导词应用实例

引导词+ 工艺参数= 偏

离

没有流量没有流量

较多压力压力升高

又一种相态两种相态

非运行维修

二、危险性和可操作性分析的格式

表3-17给出了危险性与可操作性分析的格式。

三、危险性和可操作性分析的程序与步骤

图3-6给出了危险性和可操作性分析的程序和步骤。

图3-6 分析的程序和步骤

四、应用实例

危险性和可操作性分析主要用于化工企业的生产条件和生产过程的危险性分析。 例5 燃油锅炉危险性和可操作性分析

某燃油锅炉进行危险性与可操作性分析评估。表3-18给出了评估分析的结果。

3.6 事故树分析

事故树分析方法是将系统可能发生的某种事故与导致事故发生的各种原因之间的逻辑关系用树形图的方式表示出来，通过对事故树的定性和定量分析，找出事故发生的主要原因，为确定安全对策提供可靠依据，达到预防和控制事故发生的目的。事故树分析方法是一种演绎的系统安全分析方法，可以形象地反映事故发生的因果关系，既可以用于事故后的原因分析，又可以用于系统危险性评价与辨识；既可以定性分析，也可以定量分析。

关于事故树的基本概念及其在系统安全性分析中的应用，将在第4章中进行系统地学习。

3.7 事件树分析

一、基本概念

事件树分析是一种按事故发展顺序、由初始时间开始推断可能的后果，从而进行危险辨识的一种分析方法。事件树的分析过程是以所研究的易于出现故障或事故的最初原因作为一个初始事件，找出与其相关的后续事件，分析这些后续事件的安全或危险、成功或失败、正常或故障的两种对立状态，分别逐级推进，直至分析到系统故障或事故为止。由于这一分析过程是用一颗树状的图形直观表述的，所以称之为事件树。

初始事件是指在一定条件下能造成事故后果的最初的原因事件，后续事件是指出现在初始事件之后的一系列造成事故后果的其它原因事件。

事件树分析是一种以归纳法为基础的系统安全分析方法。不仅可以用于事先预测事故，预计事故的可能后果，为采取预防措施提供依据，而且可以用于事故发生后的分析，找出事故原因。这种方法既可以进行定性分析，也可以进行定量分析，是一种直观方便、适用性强的分析方法。与事故树分析相比较，事件树分析从初始到结束，从下向上进行分析，即从原因→危险源，是一种归纳的分析方法；故障树从事故到初始原因，从上向下进行分析，即从危险源→原因，是一种演绎的分析方法。

二、事件树分析的特点

（1）有利于辨识系统中存在的危险源。

（2）可以直观地看出事件发展的整个过程和发展的途径。

（3）可以直观地提出改进的措施。

（4）可以进行定性分析和定量计算。

（5）对于复杂的系统不适用，尤其是相互影响的系统。

三、事件树分析的分析步骤

事件树的基本内容是通过编制事件树，找出系统中的危险源和导致事故发生的连锁关系，采取预防措施。图3-8给出了分析的步骤。

图3-8 分析步骤

四、事件树图的表示形式

图3-9给出了事件树图的表示形式。

图3-9 事件树图的表示形式

由图3-9可以看出，中间事件的安全、成功、正常等状态均用英文字母表示，而事件的危险、失败、故障等状态在英文字母上部加一横杠表示。其中，S 1和S 4为无故障或事故的连锁关系；S 2、S 3和S 5为发生故障或事故的连锁关系，应采取措施。

五、事件树的定量分析

若给出起始事件和每个中间环节事件的两种不同状态的概率值，则可以根据事件树中的各连锁关系，计算该事件发生的概率。例如，根据图3-8中事件的发展方向和状态，进行定量分析。

（1）已知各中间事件安全（或成功、正常）的概率分别为P[A]、P[B]、P[C]、P[D]

则，各中间事件危险（失败、故障）的概率分别为][A P 、][B P 、][C P 、][D P （2）各连锁关系（发生途径）的发生概率分别表示为

][][][}[1C P B P A P S P ??=

][][][][2C P B P A P S P ??= ][][][3B P A P S P ?= ][][][4D P A P S P ?= ][][][5D P A P S P ?=

（3）所研究系统发生事故的概率为

235[][][]P P S P S P S =++

（4）所研究系统不发生事故的概率为

14[][]P P S P S =+

六、应用实例

例6 物料输送系统事件树分析

一台泵和两个串联阀门组成的物料输送系统示意图如图3-10所示。

图3-10 串联物料输送系统示意图

设串联系统中，输送泵A 、阀门B 和C 能正常运行的概率分别为0.95，0.90，0.90，输送泵A 、阀门B 和C 不能正常运行的概率分别为0.05，0.1，0.1。试对该串联物料输送系统的安全进行分析。

（1）首先分析串联物料输送系统发生故障的起始事件和中间事件以及它们之间的连锁关系，并建立事件树图。A 、B 、C 都有正常和失效两种状态，它们之间的连锁关系可以用事件树图表示，如图3-11所示。

图3-11 事件树图

（2）确定定量关系。

系统能正常运行的连锁关系，只有1S ，概率值为： 7695.09.09.095.0][][][}[1=??=??=C P B P A P S P

即： 0.7695P = 系统不能正常运行有：2S 、3S 、4S

0855.01.09.095.0][][][][2=??=??=C P B P A P S P 095.01.095.0][][][3=?=?=B P A P S P

4[][]0.05P S P A ==

即：不能正常运行的概率为：234[][][]10.2305P P S P S P S P =++=-=

3.8 事故的因果分析

事故的因果分析是以事故致因理论的事故因果理论（即事故因果连锁理论）为基础的。 一、因果分析方法的类型

根据事物因果致因理论，事故发生有三种类型。

（1）集中型：多原因导致事故发生。

（2）连锁型：由一个原因引起另一个原因，直至引起事故发生。

（3）复合型：既有集中型，又有连锁作用。

图3-13给出了三种类型的示意图。

图3-13 三种类型的示意图

二、事故因果分析的方法

事故的因果分析通常采用两种方法，一种是因果分析图法（鱼刺图法），另一种是将事件树和事故树相结合的原因—结果分析方法。根据事故因果理论的原理，这两种方法统归于因果分析法之列。

1. 因果分析图法（鱼刺图法）

鱼刺图法是将所研究系统中发生（或预测发生）事故的原因和结果之间的关系，采用简单文字和线条绘制成图，进行直观分析。由于所绘制的分析图类似去掉鱼肉的鱼刺，因此称之为鱼刺图法。这种方法属于定性分析方法。图3-14给出了鱼刺图法的示意图。

图3-14 鱼刺图法的示意图

从图3-14中可以看出，鱼刺图法的分析步骤可以包括以下几个方面的内容。

（1）针对结果，将要分析的事故内容写在右边，从左到右，给出分析主干，箭头指向事故内容。

（2）分析原因，按照人、机、环、管理等方面原因，绘出大枝，箭头指向主干。

（3）先主后次，对大枝原因深入分析，找出影响大枝的原因，绘出中枝，箭头指向大枝。

（4）层层深入，对中枝原因深入分析，找出影响中枝的原因，绘出小枝，箭头指向中枝。如此层层深入，直至不能再分。

2. 事件树和事故树结合的原因—结果分析法

原因—结果分析方法结合事件树动态宏观分析，事故树静态微观分析。既可以是定性分析，又可以是定

量分析。其分析步骤包括以下几个方面的内容。

（1）根据所研究的事故系统，绘制事件树；

（2）以事件树的初始事件和处于危险、失败、故障的后续事件作为事故树的顶上事件绘事故树；

（3）两者结合，形成分析图；

（4）计算故障树定时间发生的概率；

（5）计算事件树各事件连锁关系发生概率，计算危险程度和事故损失。

在以上5个步骤中，前3步属于定性分析；后2步属于定量分析。

三、应用举例

例电机系统起火因果分析

某企业因电机过热未被及时发现而燃烧，操作人员灭火不及时，自动灭火系统失灵，自动报警系统也失灵，最后导致工作区着火，造成巨大的损失。试分析造成的后果和损失。

图3-15给出了采用因果分析图。表3-19给出了各事件发生的概率值。

图3-15 电机过热引起火灾的原因-结果分析图

表3-19 各种失效事件发生概率

A电机过热0.176

B电机着火0.020

x5操作人员失误0.100

x6灭火器失效0.0365

x7自动灭火器控制失灵0.0219

x8自动灭火器故障0.0219

x9报警器控制系统失灵0.05475

x10报警器失灵0.01095

()17248.002.01176.0][][1=-?=?=B P A P S

03053.086715.002.0176.0][][][2=??=??=C P B P A P S

000447.0][][][][3=???=D P C P B P A P S

000018.0][][][][][4=????=E P D P C P B P A P S

000001.0][][][][][5=????=E P D P C P B P A P S

本 章 小 结

1. 本章共介绍了6种常用的系统安全分析方法，分别为安全检查表分析法、预先危险分析法、故障类型与影响分析法、危险性和可操作性分析法、事件树分析法、因果分析法等。其中，前4种方法为定性分析方法，后2种方法为定量分析方法。

2. 在实际的系统安全分析过程中，如果是较为复杂的系统，并不是每一种方法都独立使用的，而是几种方法的有机结合。在分析中，首先通过比较简单的定性分析找出分析重点，再有针对性地对系统风险或危害较严重的事件进行定量的分析。

思考题

1. 什么是系统安全分析？

2. 系统安全分析有哪些方法？有什么特点和作用？其适用范围是什么？

3. 一个仓库设有火灾检测系统和喷淋系统组成的自动灭火系统。设火灾检测系统可靠度和喷淋系统可靠

度皆为0.99，应用事件树分析计算一旦发生失火时，自动灭火失败的概率？ 4. 试对你所熟悉的系统进行故障类型和影响分析。 5. 危险性的动态分析方法有哪些？有何特点？

6. 结合所学的飞行器设计课程，对你所熟悉的航空系统进行危险性分析。

7.