現危險。

　　在確定危險特征時，系統運行方式是最重要的。電纜插頭的過早斷開，將產生出不同類型的危險。如果發生在運行期間，插頭符合設計的斷開不同于非正常斷開，分析過程將反映這些不同點。

　　SHA應說明下列幾種危險定義中的要素；觸發危險的組件，組件危險方式，系統運行方式（對每個組件，方式可以多于一個），危險影響（對每種運行方式，影響可多于一個）。例如，觸發危險的組件是飛行器的電壓調節器，它有三種失效方式——高壓、低壓或無輸出。觀察高壓失效方式，會發現，在巡航飛行期間較準備發射期間的危險水平要高得多。

　　于是，以FHA方法為基礎的SHA，是將這種方法擴充為對每個組件及其潛在傷害的檢查。

　　

　　56 事件樹分析（Event tree analysis）（ETA）

　　

　　一起傷亡事故的發生，是許多事件按時間順序相繼出現的結果，其中，一些事件的出現是以另一些事件首先發生為條件的。描述事故發展順序邏輯次序可以通過事件樹來實現。事件樹是從1965年前后發展起來的決策樹（Decision tree）演化而來的。

　　在事故發展過程中出現的事件可能有兩種情況，即事件出現或不出現，或者事件導致成功或導致失敗。這樣，每一事件的發展有兩條可能的途徑。究竟事件按哪一條可能的途徑發展，具有一定的隨機性。但是，往往按各條可能途徑發展的概率是不相等的。它涉及到有關的安全狀況。

　　如果傷亡事故發展過程中包括m個相繼發生的事件，由于每一事件可能的發展途徑有兩條，則總計會有2m,條可能的發展途徑，最終的結果也有2m個。這些結果又可簡單的區分為兩類：傷亡事故發生或不發生，即成功或失敗。通過事件樹分析，把事故發生發展過程直觀地展現在人們面前，人們可以在事故發展的不同階段采取恰當的措施阻斷事故發展進程，讓事件向產生好結果的方面發展。

　　在相繼出現的事件中，后一事件是在前一事件出現的情況下出現的，它與更前面的事件無關。后一事件選擇某一種可能發展途徑的概率是在前一事件做出某種選擇的情況下的條件概率。因此，在定量分析時，各事件都要按條件概率來考慮。

　　做成事件樹時，按照事件發展過程自左向右畫，樹枝代表事件發展途徑，把結果好的分枝畫在上面：把結果不好的分枝畫在下面。

　　

　　57風險評價模型（Evaluation model of risk）

　　

　　因為事故及其損失的性質是復雜的，所以風險評價的邏輯關系也是復雜的。

　　風險評價邏輯模型至少有五個因素：基本事件（低級的原始事件），初始事件（對系統正常功能的偏離，例如鐵路運輸風險評價時，列車出軌就是初始事件之一），后果（初始事件發生的瞬時結果），損失（描述死亡、傷害及環境破壞等財產損失），費用（損失的價值）。見風險評價模型圖3-12。

　　

　　圖3-12 風險評價模型

　　連系故障樹，低級的原始事件也同樣是故障樹中的基本事件，而初始事件則相當于故障樹的一組頂上事件。對風險評價來說，必須考慮系統可能發生的一組頂上事件和總損失。

　　設每暴露單位費用為Ct＜sub＞n＜/sub＞，其概率為P（Ct＜sub＞n＜/sub＞），n為損失類型，則每暴露單位的平均損失可用下式計算：

　　

　　58 安全價值分析（Safety yalue analysis）

　　

　　價值分析過程是經典的交互決策方法論在安全上的應用，其焦點是安全目標與有限的資金可能達到的安全水平之間的差距。圖3-13描述了價值分析的過程。

　　第一步建立系統安全目標。

　　第二步是提出系統模型，用以確定現存系統結構是否符合目標，這個模型只須詳細和清楚到所需要的程度，以確定目標是否得以滿足。

　　第三步分析系統，即研究上述系統模型，以確定是否肯定能達到安全目標，如能達到，則價值分析過程即可終結。如達不到，就進行下一步。

　　第四步擬定安全措施項目，并應用適當的決策方法對這些安全措施進行篩選。實施安全措施所需資金包括在每一項目中。

　　經選定一組能使系統達到安全目標的措施后。系統模型要按照這些安全措施進行修改并進行研究。系統的輸出再次與原定目標進行比較，這個循環要繼續反復進行，直到可供利用的資金不足以達到新目標為止，就把這時所定安全措施付諸實施，同時要修改原定的目標。

　　這樣，一直到最后修正的目標在財力、技術允許條件下可達到的安全水平。倘若達不到預想的安全水平，則系統必須重新設計。

　　

　　圖3-14 價值分析過程