3.1 FTA故障树：从顶事件到最小割集

3.1 FTA故障树：从顶事件到最小割集

本节摘要：故障树分析（FTA）把"不想要的后果"放在树顶，用与门、或门逐层向下拆解，直到拆出所有能引发它的基本故障组合——最小割集，并能据此算出顶事件概率。本节以反应釜超压为完整算例，从建树一路算到整改优先级。

「顶事件」——故障树的行话起点：你绝对不希望发生、且想弄清它怎么发生的那件事。FTA 的做法反直觉却极有效：不问"系统哪里会坏"，先问"那个灾难性后果需要哪些条件同时成立"，然后逐层向下拆，拆到不能再拆的基本事件为止。1961 年贝尔实验室为评估民兵导弹发射控制系统安全性发明这套方法，如今是核电、航天、化工定量安全评估的标准配置。

一、建树：三种符号与两条铁律

故障树只需要三种积木。顶事件/中间事件（矩形）：待分析的后果或中间故障状态；基本事件（圆形）：不再往下拆的元故障——元件失效、人为失误、环境扰动；逻辑门：与门（全部输入同时发生，输出才发生）、或门（任一输入发生，输出即发生）。两条铁律决定建树质量：其一，顶事件必须定义得具体到可判定（"反应釜超压破裂"合格，"工厂出事故"不合格）；其二，逐层展开要回答"为什么"而非"是什么"——每层问"上游什么条件齐了，这一层就会发生"。

以一套带冷却水系统的反应釜为例。顶事件选 T：反应釜超压破裂。超压破裂需要两个条件同时成立：超压发生且泄压保护失效——这是与门关系。超压发生则可能是进料过量或冷却水中断之一——或门。泄压保护失效也可能是两条路之一：安全阀（机械泄放）故障或超压联锁（自动切断进料）失效——还是或门。四层树就成型了。

图：反应釜超压破裂故障树（含最小割集）

二、最小割集：事故的最短路径清单

割集是"一起成立就导致顶事件"的基本事件组合；最小割集是其中再删一个就不成立的组合——它们就是通往顶事件的全部"最短路径"。用布尔代数求解：与门做交集、或门做并集再消去冗余。上面这棵树四个最小割集全部是两事件组合：

• K1＝{安全阀故障，进料过量}，概率 0.001×0.01＝5×10⁻⁵
• K2＝{安全阀故障，冷却水中断}，概率 0.001×0.02＝1×10⁻⁴
• K3＝{联锁失效，进料过量}，概率 0.005×0.01＝5×10⁻⁵
• K4＝{联锁失效，冷却水中断}，概率 0.005×0.02＝1×10⁻⁴

顶事件概率用不交和近似（割集概率很小，直接相加误差可忽略）：P(T)≈5×10⁻⁵＋1×10⁻⁴＋5×10⁻⁵＋1×10⁻⁴＝1.8×10⁻⁴。这个数字的回答方式比数字本身重要：它说"每次超压工况出现，破裂概率是万分之一点八"——评价的是结构，不是日程。

割集清单立刻变成治理地图。注意三个观察：其一，全部割集都是二元组合——每一层保护独立有效时，事故需要至少两重故障叠加，这正是纵深防御的数学表达；其二，联锁失效（X2）出现在概率最大的两个割集里——按"结构重要性"它排第一，治理联锁（提高校验频次、改用冗余传感）比治理进料控制更划算；其三，把任一基本事件概率降一个数量级，含它的割集跟着降——FTA 让"投哪笔钱最值"变成可计算的问题。

阶乘只是玩笑话，割集数量却是真炸弹：基本事件一多，割集数指数爆炸，手工布尔化简就不够了——工程上用模块化与近似截断（只保留概率前 N 的割集），大树的计算交给专业软件，但树的逻辑结构必须由懂工艺的人来建，这一步外包不掉。

三、使用边界与实操忠告

FTA 的边界要心里有数。其一，它擅长静态逻辑，不擅长表达时序：先按复位再误开阀与先误开阀再按复位，后果不同，树却画不出先后——涉及顺序的问题用事件树或动态方法补。其二，共因失效是它的天敌：冗余的双联锁若共用一路供电，树上两个独立基本事件实际是一根藤上的瓜，割集"两重保护"的独立性假设瞬间崩塌——建树时必须追问"这两个故障真的互不相干吗"。其三，基本事件概率来自数据库与经验，输入垃圾则输出垃圾：FTA 的数字精度撑不起小数点后两位的自信，但它对割集结构与重要性排序的洞察是稳定的。

实操三条忠告：顶事件宁小勿大，一棵树回答一个问题，别造"全厂灾难树"；建树要请运行人员参与，书上没有的旁通阀和"历史遗留的短接线"都在他们脑子里；算完必须回到整改——把重要性排序前二的割集各配一条具体措施并写明验收标准，否则这棵树只是挂在墙上的学术作品。

算一遍"改哪最值"：重要性排序的威力

割集清单最有用的玩法是改造前后的对比计算。沿用前例：四个割集合计 P≈1.8×10⁻⁴。方案甲是把联锁（X2）失效概率从 0.005 降到 0.0005（升级为 SIL 等级的冗余联锁）：K3 变为 5×10⁻⁶、K4 变为 1×10⁻⁵，新顶事件概率＝5×10⁻⁵＋1×10⁻⁴＋5×10⁻⁶＋1×10⁻⁵≈1.65×10⁻⁴——只降了约百分之八。反直觉吧？原因在 K1、K2 里没动过的安全阀（X1）立刻成了新的短板：它的两项割集贡献了九成以上概率。

结论随之浮现：要显著压低顶事件，必须同时动"含在最大割集里的全部基本事件"——把 X1 从 0.001 降到 0.0001（改为双安全阀或加爆破片），P 才会真正下台阶。这就是 FTA 的短板逻辑：保护层链的强度由最弱一环决定，投资撒胡椒面不如砸准短板。也解释了为什么 LOPA（3.4 节）要求逐层看独立性——短板常藏在"大家都以为没问题"的那层。

工程上还有一个对偶概念值得一提：与最小割集（导致顶事件的最短路径）相对的最小径集（让顶事件不发生的最小组合）。割集告诉你"坏在哪"，径集告诉你"拦在哪"——对基本事件众多的系统，径集往往更省：让任一径集成立，顶事件即被阻断。治理方案的"性价比选径"由此有据可依。

本节要点回顾

• FTA 三积木：矩形事件、圆形基本事件、与门/或门；两条铁律——顶事件具体可判定、逐层问"条件"而非"现象"。
• 最小割集是全部最短失效路径：与门交集、或门并集、布尔消冗余；顶事件概率由割集概率合成，本例约 1.8×10⁻⁴。
• 割集即治理地图：出现在高概率割集中的基本事件优先治理；割集阶数（二元、三元）反映纵深防御的厚度。
• 三大边界：不擅长时序、怕共因失效、数字精度有限——结构与排序是它真正可靠的输出。

FTA 从果往因追；下一节调转方向——事故的起点一旦出现，事件树带你把所有可能的结局及其概率推向完整。