《概率风险分析评价》

概率风险分析评价

作为一项评价技术，概率安全评价（psa）用于找出复杂工程系统运行中所可能发生的潜在事故、估算其发生概率以及确定它们所可能导致的后果。概率安全评价是由安全性和统计学的概念在工程设计的应用中发展而来的。

概率安全评价（psa）的应用可以追溯到上个世纪50年代，最早应用于美国太空总署（nasa）的阿波罗登月计划，1961年，美国贝尔实验室的h.a.watson发展psa的故障树方法，将其应用于“民兵”导弹的发射控制系统的评估中，并获得成功。1972年，psa分析第1次应用于核电站设施上，里程碑式的报告就是发表于1975年的wash-1400，分别用于一个轻水堆和一个压水堆，开创了对于大型设备的安全进行定量化描述的阶段。psa用于工业辐照设备的安全分析开始于90年代初[1-3]，近年来取得较大发展。

1吴德强，译.国际放射防护委员会第76号出版物—潜在照射的防护：对所选择辐射源的应用，北京：原子能出版社，1999.2iaea.proceduresforconductiongprobabilisticsafetyassessmentofnu-clearpowerplants（level1）：asafetypractice，safetyseriesno.50-p-4，iaea，vienna.1992.3iaea.humanreliabilityanalysisinprobabilisticsafetyassessmentfornuclearpowerplants，safetyseriesno.50-p-10，iaea，vienna.1995.

安全评估分为动态和静态，以上可以放在最后

pra，概率风险评价（pra：probabilisticriskassessment）

自1972年美国原子能委员会（aec）应用事件树和故障树相结合的分析技术成功地对核电站的风险进行了首次综合的评价，以定量的方式给出了核电站的安全风险后，美国核管理委员会（nrc）开始使用pra来支持其管理过程。在“挑战者”事件之后，nasa（美国航空航天局）制定了更严格的安全和质量保证大纲，采用概率评价方法对航天任务进行评价[2]，并开发了一套完整的pra程序对航天飞机的飞行任务进行评价，esa（欧空局）的安全评价也从以定性为主转向定量评价，并开发了自己的风险评价程序[3]。pra正作为许多工程系统安全风险管理程序的重要组成部分而应用于系统的设计、制造和使用运行中。

航天系统的安全性一直是人们所关注的问题。对航天系统进行安全性分析的方法经历了从定量到定性，再到定量的过程。早在50年代，美国宇航局（nasa）即用概率计算分析航天可靠性，并使用故障树方法来分析民用导弹的可靠性。1960年“阿波罗”登月计划中，nasa曾应用定量评估方法对航天系统成功完成飞行任务的概率进行了计算，但由于计算出的成功概率很小，使nasa十分失望，认为航天系统风险评估中采用定量评估方法毫无意义，转而开始采用定性的安全性分析方法。1986年的“挑战者”号事故促使nasa转变了认识，重新采用定量风险评估方法对航天系统进行安全性分析。美、俄及欧洲诸国对航天安全均很重视。我国目前对于航天安全也越来越重视，国防科技大学、北京航空航天大学、航天工业总公司等单位都进行过航天安全性方面的研究工作，航天工业总公司从1992年开始编写航天安全性大纲。但是，被nasa和欧洲空间局（esa）广泛采用的pra方法在我国过去则一直没有得到很好的应用，直到1997年航天部门才开始着手推广和应用pra方法。本文对这一定性、定量相结合，以定量风险评估为主的航天安全性分析方法进行了详细的介绍，旨在进一步推进我国航天系统的安全性评估（3）综合评估方法主要包括风险协调（评审）技术（vert）和概率风险评估（pra）方法。

pra方法是定性、定量相结合，以定量为主的安全性分析方法，是对复杂系统进行定量风险评估的一种重要工具。通过应用pra方法，可以使安全工程师对复杂系统的特性有全面深刻的了解，有助于找出系统的薄弱环节，提高系统的安全性;并可以在概率的意义上区分各种不同因素对风险影响的重要程度，为风险决策提供有价值的定量信息。自从60年代中期开始发展以来，pra方法已在核电站、化工等复杂系统的定量风险评估中取得了广泛应用，但是在很长一段时间内，pra方法并没有广泛应用于航天领域。nasa曾于80年代提出使用pra方法对航天飞机的安全性进行定量评估，但一直没有受到重视。1986年“挑战者”号出现事故以后，美国国会及社会各界都对nasa在航天系统的风险评估中只采用定性评估而没有定量评估的做法提出了批评，从而促使nasa转变了对定量风险评估的认识，重新开始重视pra[4]。

4.1事故链（事件链scenario）事件链是一串按时间排列的事件序列，它由某些偶发事件而发生，通过干涉事件而结束[2，5]。如果事件链的结束状态是一个事故，就称为事故链。即便在最简单的系统中，一个初因事件都可以导致几条事件链，这取决于干涉事件的结果。由于pra方法只对一种后果：机毁人亡（lov）进行研究，所以所有的事件链都是事故链。事故链可以概念性地表示为图1。初因事件轴心事件（不希望事件）后果（结束状态）传播时间图1事故链图解

描述事故链的关键术语主要有。（1）初因事件，也可称引发事件，它和预先存在的潜在危险一起导致事故链的发生;（2）轴心事件，这是不希望事件，它有改变事故链发展方向的能力，可分为预防性事件（保护性）、恶化事件或弱化（良性）事件;（3）后果，也称结束状态，它有满意、良好、不好等多种结果;（4）传播时间，从引发初因事件开始，经过一系列轴心事件到最后结束所花费的时间。

4.2主逻辑图（mld）确定导致事故发生的初因事件可采用主逻辑图法。mld是一种层次结构图，是对顶事件发生的必要条件的一种分级描述。一般说来，上面各级事件是航天系统顶级或系统单元的功能失效，下面各级事件是子系统或部件的功能失效。

mld的建立是一个自上而下的过程。首先，把lov事故作为顶事件，将其分解为一组新的下级事件，每个新的下级事件都是导致发生lov的必要条件，并具有不同的系统响应;然后，对每个新的下级事件继续进行分解，分解后的新事件是导致发生lov的必要条件并且具有不同的系统响应;这种关于事件的逐级分解过程，一直要进行到分解后的新事件都具有相同的系统响应为止。由于mld底层的基本事件是导致发生lov的不可分解的必要条件，并且具有相同的系统响应，所以，mld的基本事件就可作为导致发生lov事故的初因事件。

4.3功能事件顺序图（fesd）对每个初因事件可以建立相应的功能事件顺序图，它描述了从初因事件到lov事故发生所经历的全部中间事件，即系统对初因事件的各种不同的响应。建立fesd采用归纳法，通过回答问题“下一步可能发生什么。”来确定初因事件之后的所有中间事件。fesd不仅是描述系统对初因事件的各种响应和系统的设计特性的有效工具，而且可以有效地获取系统专家的知识。对每个初因事件建立相应的fesd之后可将其转化成事件树，从而可确定导致发生lov事件的事故链。

4.4事件树（et）事件树是每一事件有两种输出结果的决策树，通常与fesd拥有相同的信息，但它更易于通过计算机来构造所需的代数方程。对事件树的每一决策结点，要求建立发生的联合概率。

根据fesd可以得到简化的事件树，由此可以得到导致lov的事故链和导致允许的异常终止但不发生lov事故的事件链。计算每条事故链的发生概率需要知道初因事件发生的概率以及事件树中各标题环节事件失效的概率，即有关系统或设备的不可用度。在假定事件树中各标题环节事件是相互独立的条件下，可以应用故障树分析方法求出各标题环节事件的失效概率。

4.5故障树（ft）故障树分析法是以不希望发生的、作为系统失效判据的一个事件（顶事件）作为分析的目标，以图形的方式表明“系统是怎样失效的”。通过ft可以清楚地了解系统是通过什么途径发生失效的，从而找出导致系统失效的基本原因。对事件树中的标题环节事件建造故障树时，首先把标题环节事件的失效状态作为故障树的顶事件，然后找出导致顶事件发生的所有可能的直接因素和原因，它们是处于过渡状态的中间事件，由此逐步深入分析，直到找出导致顶事件发生的基本原因，即故障树的基本事件为止。通常，这些基本事件的数据是已知的，或者已经有过统计或试验的结果。构造故障树的过程是一个系统的、不断询问和回答问题“顶事件是如何发生”的演绎推理过程。因此，故障树通常用来建立事件的层次，可以为事件树中的事件提供更多的细节以帮助量化。由于归纳过程和演绎过程的互补性，事件树和故障树经常一起使用，表示从初因事件到危害状态的系统响应。二者结合使用比只使用其中一种能够更加完全、精确、清晰地构造和记录事故链。事件树和故障树一起描述了每一个危害状态发生的充分必要条件，也是形成代数方程的基础。最终使用这些代数方程来得到危害状态发生的频率及不确定性分布。

有了主逻辑图、功能事件顺序图、事件树、故障树以及有关数据和其它相关的信息和知识，利用综合集成就有一个集成图。这个集成图是将专家知识，各种信息、数据和多种模型综合集成的结果。pra过程不存在唯一的、精确的图解形式，不同的分析者可以选择不同的形式。在安全性和可靠性分析中，最常用的就是事件树、故障树、事故链图。

概率安全评价（psa）用于找出复杂工程系统运行中所可能发生的潜在事故、估算其发生概率以及确定它们所可能导致的后果。pra方法是定性、定量相结合，以定量为主的安全性分析方法，是对复杂系统进行定量风险评估的一种重要工具。

概率风险评价（probabilisticriskassessment，pra）是一种用以辨识与评估复杂系统的可靠性、安全性风险为目标的结构化、集成化的逻辑分析方法。1986年“挑战者号”航天飞机事故的发生，使得nasa重新重视pra的应用。特别是2003年“哥伦比亚”号航天飞机事故进一步促进了pra技术在nasa的应用和发展。esa从1996年开始，将每年的可靠性与安全性的国际会议更名为概率风险评价与管理国际会议。

pra综合应用了系统工程、概率论、可靠性工程及决策理论等知识，主要用于分析那些发生概率低、后果严重并且统计数据有限的事件。pra按照三个问题来描述风险：1）什么事件可以导致故障（事故）。2）其可能性有多大。3）其后果是什么。pra通过系统地构建事件链并对其进行量化分析，以一种集成的方式来回答这些问题。复杂事件链由一系列的事件组成，其中每一个事件都有可能对系统造成严重后果。这些事件链中的事件，孤立地看可能并不严重或并不重要，但若它们组合到一起却可能导致灾难性的后果。

主逻辑图（masterlogicdiagram，mld）———主逻辑图主要用来确定导致事故发生的初因事件。主逻辑图是一种层次结构图，是对顶事件发生的必要条件的一种分级描述。一般说来，上面各级事件是系统顶级或系统单元的功能失效，下面各级事件是子系统或单机的功能失效。主逻辑图的建立是一个自上而下的过程。例如，可以把损失航天器事故作为顶事件，将其分解为一组新的下级事件，每个新的下级事件都是导致发生损失航天器的必要条件;然后，对每个新的下级事件继续进行分解，分解后的新事件是导致发生损失航天器的必要条件。由于主逻辑图底层的基本事件是导致发生损失航天器的不可分解的必要条件，所以，主逻辑图底层的基本事件就可作为导致发生损失航天器事故的初因事件。初因事件也可以通过fmea确定。事件序列图（eventssequentdiagraph，esd）———对每个初因事件可以建立相应的功能事件序列图，它描述了从初因事件到损失航天器事故发生所经历的全部中间事件。建立事件序列图采用归纳法，通过回答问题“下一步可能发生什么。”来确定初因事件之后的所有中间事件。事件序列图不仅是描述初因事件对系统的各种响应的有效工具，而且可以有效地利用设计师的经验。对每个初因事件建立相应的事件序列图，之后可将其转化成事件树，从而可确定导致发生损失航天器事故的事件链。事件树是每一事件有两种输出结果的决策树，通常与事件序列图有相同的信息。根据事件序列图可以得到简化的事件树。

典型的pra实施过程包括。定义目标与系统分析、识别初因事件、事件链建模、确定事件的故障模式、数据的收集和分析、模型的量化和集成、不确定性与敏感性分析、评价结果与分析（重要度排序）等步骤。

步骤2：识别初因事件

在完整的事件链中，首先要识别初因事件，必须正确地识别出来。可以采用主逻辑图（mld）或fmea等来实现步骤3：事件链建模

采用事件树（et）建立事件链模型，从初因事件开始，经轴心事件到达最终状态。有时可以首先通过事件序列图（esd）来描述事件链，因为从工程分析的角度来看，事件序列图比事件树更有优势。

在任何复杂工程技术系统中，总是存在多个相互作用的子系统，为了完成一定的功能及实现某个系统目标，有必要以模型的形式对各子系统及功能间的交互进行简明直观地逻辑表达。运用主逻辑图即可以建立这样的模型。

通常，常将系统功能划分为主功能和支撑功能两类。主功能是为了实现系统目标，而支撑功能是为完成主功能提供支持，如工程中的能量驱动、设备控制、适合的环境等。mld（主逻辑图）则明确表达出了系统中主功能与支撑功能及其系统元素之间存在的相互关系。从成功性上考虑系统目标，mld能给出各种功能及系统元素交互以取得系统目标的作用方式。另一方面，若考虑系统目标失败，mld则能给出故障原因的逻辑描述。

第二篇：基本定量风险评价法：概率危险评价技术

基本定量风险评价法：概率危险评价技术

来源：安全资讯网编辑：冰雪时间：2009-6-2614：15：17

1概述

概率危险评价方法通过综合分析单个元件（如管路、泵、阀门、压力容器、控制装置、操作人员等）的设计和操作性能来估计整个系统发生事故概率。

2应用范围

作为危险分析的一部分，定量危险评价包括辨识与公众健康、安全和环境有关的危险并估计危险发生的概率和严重度。自20世纪60年代末概率危险评价方法问世以来，主要应用于下述3个方面：

⑴提供某种技术的危险分析情况，用于制定政策、答复公众咨询、评价环境影响等。

⑵提供危险定量分析值及减小危险的措施，帮助建立有关法律和操作程序。

⑶在工厂设计、运行、质量管理、改造及维修时提出安全改进措施。

概率危险评价是评价和改善技术安全性的一种方法。用这种方法可建造导致不希望后果的事件树或故障树，来分析事故原因。通过估算事件发生概率或事故率以及损失值，可定量表示危险性大小。损失值通常用死亡人数、受伤人数、设备和财产损失表示，有时也用生态危害来表示。

3评价步骤

在核工业中，概率法用来替代传统的决定论方法评价工厂的安全性。使用概率危险评价方法便于设计冗余安全系统和高度防护装置。概率危险评价通常由3个步骤组成：

⑴辨识引发事件；

⑵对已辨识事件发生的后果及概率建模；

⑶对危险性进行量化分析。

概率危险评价可进行不同层次的分析。核工业中有3种概率危险评价方法：一级评价，仅考虑反应堆芯溶化的概率；二级评价，分析释放到环境中的放射性物质的浓度；三级评价，分析事故产生的个体和群体危险。后者常称作综合性或大规模危险评价。

4应用分析

概率危险评价为安全评价起了很大的促进作用。但是，该方法的一些不足之处影响了它的应用范围。

1）完整性和失效数据

概率危险评价要求分析完整和数据充足。这意味着概率危险评价必须考虑可能发生异常的每一事件。此外，完整性还包括人的作用和一般失效事件的建模。然而，完整的分析是不可能的。因为疏忽总是不可避免的，所以完整性为该方法最关键的问题。

实际工作中必须忽略小危险事件。这意味着评价人员必须确定哪些事件发生的概率低到可忽略不计的程度。如果这类低概率事件确定不可能发生，则结果误差不大。然而，意外的一般性事故会使估计的概率值相差几个数量级，因此这样的简化未必是合理的。随着新信息的出现，早期的估计可能是会比较乐观，如水冷式反应堆导致管受晶间应力腐蚀而开裂等。

地震、洪涝、恶劣气候条件等外因也能导致事故发生。由于外部环境因素比工厂内部因素更复杂，结构不清楚，因此，这类危险评价常常是不准确的。在许多危险评价中都有一个心照不宣的假设，即工厂都是按设计建造和维修的。评价过程中很少考虑违反安全技术规定等方面的因素。

限制概率危险评价方法广泛应用的另一个因素是人与技术系统的相互作用，三涅岛核电站事故、印度博帕尔毒气泄漏事故等都证明人的因素影响非常大。尽管在人的因素领域已进行了20余年的研究，但除专家判断法外，还没有任何实用方法来辨识人为失误及确定其概率值。

数据的准确性也是限制因素之一。元件失效的经验可用来进行统计外推，计算失效率，但这样计算的失效率是否能够从一种情形借鉴到另一种情形还值得考虑。

2）假设和专家判断法

分析结果与假设条件、系统建模以及将历史数据代入模型所作的判断等一系列因素有关。整个分析过程中都要使用相当多的专家判断方法。如果专家判断法已被认可，那么分析结果是有效的。但实际上，在进行概率危险评价过程中，技术上和分析方法上使用的判断方法是多种多样的：描述危险特性、选择如何来填补不足的数据、什么样的事件可忽略不计、模拟复杂的物理现象、描述分析结果的可信度、选择表述方式等。整个分析过程中都要进行假设，所有的假设都要求判断是否合适。此外，专家陷入自己的分析思路中，难以按科学的标准鉴别社会技术系统内存在的分歧。

由于专家判断法固有的主观性，因此，所分析人员对同一工厂进行评价时，评价结果相差很大。可靠性计算的经验表明，概率评价能产生2个数量级的误差。早期用概率危险评价方法评价液化天然气贮罐的危险性也出现了类似的误差。当用个体危险性表示工厂附近居民的危险性时，不同概率危险评价的结果也有几个数量级的误差。这类误差并非由于分析方法上的缺陷引起的，而且在评价对象的描述、假设和使用模式方面存在的差异引起的。

核工业部门累积了概率危险评价结果的差异性。目前，美国核反应堆芯熔化损失的概率估计为10—5／年10—3／年。这一差别并非仅仅是设计和场所不同，正如评价权威专家指出的那样，研究的范围、使用的概率危险评价方法、分析时所作的假设等因素都会影响分析结果。瑞典的研究表明，建模不同也会产生较大的误差。在一份概率危险评价现状的研究材

料中美国政府统计办公室认为，概率危险评价结果的差异性限制了它们之间的比较，且也是该方法最致命的问题。

3）表达不确定性

在很大程度上，概率危险评价方法的不确定性取决于分析的完整性、建模的准确性以及参数估计的充分性。后者的不确定性可通过分析扩展数据的概率分布进行计算而得出（假设分析数据充足）。由分析方法本身和模型不完整性引起的不确定性的解决是很困难的。这些因素常用敏感度分析方法来解决。

类似的问题在早期的液化石油气贮存装置的概率危险评价中已有报道。由于不了解持不同意见的专家的看法和不同的评价模型，分析人员总是过高地估计分析结果的可信度。虽然通过分析人员的判断也减少了一些事故，但掩盖了这种判断本身可能存在的不足，有时选择参数与定性讨论的结果相差几个数量级。在有害化学物质的危险评价中，不能直接说明不确定性也是一个很大的障碍。

4）复杂性

技术系统日趋复杂和相互渗透产生了一系列有待解决的问题。例如，大规模的核安全评价包含了无数个不同的系数，要求不同领域的专家参与。计算的数据令人吃惊。一座核电站进行一次概率危险评价要求估计成千上万个参数，报告长达几千页。这阻碍了研究结果的应用交流。然而，核电站危险评价还是—个相对简单且已为人们了解的技术，许多化工厂比核电站要复杂得多，人们了解得也较少。尽管概率危险评价采用“各个击破”的方法较适用于评价复杂系统的危险性，但它只适合结构和定义都明确的系统。

5应用实例

5.1canvey岛危险评价

1）概述

1976年，应英国环境与就业大臣的要求，英国卫生与安全管理局（hse）对canvey岛／thurrock地区工业设施的危险性进行了评价。该项研究源于公众质询是否允许在这一地区建1座炼油厂。研究的目的是了解现有工业设施及建成炼油厂后对居民造成的危险性。

canvey岛位于泰晤士河伦敦以北，居民3万人，现有7座工厂，雇工3200人。这些工厂主要贮存、运输、生产汽油和石油产品，约贮存10万t液化天然气、1800万t石油产品。

2）引发事件及其发生概率

该项研究系统分析了各工厂火灾、爆炸、毒物泄漏事故发生的条件。重点研究了贮存和运输过程能引发事故的下列事件：

（1）管道和贮罐破裂（自发或疲劳）；

（2）泵壳破裂；

（3）控制过程失控（压力、温度、流量等）。

此外，爆炸冲击波、爆炸碎片以及贮罐过热等火灾、爆炸事故也会对附近的设施造成损失。

引发事故发生的概率以及后续事件发生的条件概率，主要通过分析统计资料和技术判断获得。为获得定量的数值和结果，主要采用了下述方法：

（1）分析统计资料；

（2）在统计分析基础上，对个别缺项进行判断补充；

（3）通过已做fta分析的类似案例，分析估计得出定量数值和结果；

（4）对一些无法获得的数据进行主观判断；

（5）通过分析文献资料获取数据。

3）事故影响

研究对象中可能发生爆炸事故的工业设施距离居民区1km以上。如果这些设施就地爆炸，则后果较小；但若是爆炸性蒸气飘向居民区而发生爆炸，则可能发生下列事故：

（1）直接的爆炸压力伤害；

（2）冲击波伤害；

（3）爆炸热伤害（在爆炸火球范围内）；

（4）由爆炸引起的火灾伤害；

（5）窒息伤害；

（6）爆炸火球的热辐射伤害。

canvey岛地区的平均人口密度为4000人／km2，通过估算得出了厂区蒸气云爆炸的条件概率和伤亡人数（死亡人数按总伤亡人数的一半计），结果见表1。

表1蒸气云爆炸的条件概率和伤亡人数

应该注意的是，为计算蒸气云在居民区爆炸的概率，必须了解爆炸性蒸气云的形成概率、爆炸概率以及向居民区运行概率和在该地区被引爆的概率。

假设压力贮罐爆炸后形成了1000t的无水氨蒸气云（20％蒸气，80％液体），在当地气象条件下（风速为6m／s），危险的氨气沿风向分布，形成一个半轴为2.5km和3km的椭球形区域。考虑人口分布及气象条件，得到1000t氨泄漏后的伤亡人数及条件概率，结果见表2。

表21000t氨泄漏后的伤亡人数及条件概率

该研究分析了可能出现的38种情况，得出了canvey岛现有工业设施以及扩建后和经安全改善措施前后4种条件下的风险。

社会风险概率见表3。

表3社会风险概率和伤亡人数

最大个人风险率见表4。

s值人员财产损失（万元）停车其它5造成人员伤亡>50本公司停车重大环境污染

4造成人员重伤>25部分关键装置停车本公司形象受到重大负面影响3造成轻伤>10降低生产负荷造成环境污染

2造成人员轻微伤