医疗故障树分析（FTA）：患者安全事件的根因追溯（建树、割集、根因）

医疗故障树分析（FTA）：患者安全事件的根因追溯（建树、割集、根因）本文档提供：FTA适用性速判表；顶事件选择与建树步骤表；门逻辑的医疗语义对照表；最小割集Fussell-Vesely下行法操作表与定性排序规则；根因判定三层依据表（割集阶数、概率重要度、可控性）；顶事件概率与重要度的取数路径表；决策规则6条；完整示例1个（含三次转折与变量处置表）；三套场景检查项增减对照；来源说明表。2026-11-07这一节的标题读完你能拿到什么这一节在全文中的功能一、先判断这件事该不该用FTA：顶事件够不够严重、失效是否需要组合、有没有可追溯的底事件FTA适用性速判表在投入建树之前排除不适用的分析对象二、顶事件怎么选：从不良事件或隐患中挑出“一个后果”，不挑“一个原因”顶事件选择标准与建树步骤表防止树建在一句笼统的“管理不到位”上三、门逻辑在医疗场景里怎么用：或门、与门、表决门各自对应什么失效关系门逻辑医疗语义对照表把临床失效的“任一发生”和“同时发生”翻译成可计算的逻辑四、最小割集怎么求：Fussell-Vesely下行法逐步操作与简化下行法操作表、割集简化规则从树结构得到“哪些底事件组合足以导致顶事件”五、割集出来了，根因怎么定：阶数、重要度、可控性三层排序根因判定三层依据表、定性排序规则把最小割集清单变成可干预的根因清单六、定量分析能用就用、不能用就不硬凑：顶事件概率与重要度的取数边界定量取数路径表、模糊数与专家评估的适用条件防止用编造的概率支撑根因结论七、出现这些信号时先动哪一步：六条决策规则决策规则表6条、割集完备性与可控性矛盾四段把判定落到补树、补数据和干预动作八、一个硬镜损坏的FTA根因追溯：三次转折案例分步操作、变量处置表对照自己事件的建树和割集找相似信号九、完整版、精简版、极简版各保留什么、删什么三场景检查项增减对照按团队时间和事件复杂度选执行范围十、文中数据从哪来、哪些还没核到本科室来源说明表追溯事实型断言的层级按第一列在正文找对应那节，按第二列判断该节有没有读者要的东西，按第三列判断该节是否对应读者当前卡住的位置。一、先判断这件事该不该用FTA：顶事件够不够严重、失效是否需要组合、有没有可追溯的底事件FTA是演绎分析：从一个不希望发生的后果出发，逐层向下追问“什么情况会导致它”。它适合的场景有明确边界：顶事件是严重度高的患者安全后果（严重伤害或死亡），多个失效需要组合才导致后果，团队需要据此判断概率或排序干预优先级。不适合的场景同样明确：后果轻微、单点失效即可解释、底事件无法追溯或没有逻辑关系可拆。先判断适用性，再建树。表1FTA适用性速判表先判断什么取数位置什么算适合用FTA什么算不适合不适合时先用什么顶事件的严重度不良事件分级、ISMP严重度、院内事件分级严重伤害、死亡或永久性损害无伤害或轻度可逆损害用FMEA或事件复盘替代失效是否需要组合事件时间线、现场观察多个失效同时或先后出现才导致后果单一操作失误即可完全解释用RCA单一根因分析或五问法底事件是否可追溯设备日志、排班表、核查单、监测记录底事件有记录、可观察、可命名底事件只能写“责任心不强”“管理不到位”先补过程数据，再决定是否建树是否需要判断概率或重要度设备故障率、差错记录、专家可评估有数据或专家可给出有依据的区间完全没有数据且专家无法收敛只做定性分析（最小割集），不做定量示例：硬镜损坏47例维修工单，故障类型可归类，底事件可命名适合—进入建树表1第5行是示例行：硬镜损坏有47例维修工单、故障类型可归类、底事件可命名，判定适合用FTA，进入建树。二、顶事件怎么选：从不良事件或隐患中挑出“一个后果”，不挑“一个原因”顶事件是FTA的起点，也是整棵树的方向。顶事件的选择有两条硬规则：第一，顶事件是一个“不希望发生的后果”，描述的是患者或系统最终受到了什么损害，不是“某个操作没有做”；第二，顶事件应当对应一个可以明确定义、边界清晰的失效状态，能够回答“这件事发生了没有”。如果顶事件写成“交接不到位”“培训不足”，它本身已经是原因层面的表述，向下拆解会失去逻辑层次。表2顶事件选择标准与建树步骤步骤动作产出物什么算这一步完成什么算这一步不合格不合格时怎么改1确定顶事件从事件台账中选一个严重度高的后果，用一句话写成“某类患者发生了某类损害”顶事件定义顶事件可判定发生与否，不包含原因顶事件含“因为”“由于”“管理不到位”删除原因词，只保留后果2确认边界写明分析范围：时间窗、患者类型、流程阶段边界说明边界外的事件不进入树边界模糊，树中混入不相关事件用一句话限定范围3识别直接原因问“顶事件的直接原因有哪些”，用或门连接第一层中间事件直接原因之间是“任一发生即可导致顶事件”的关系把间接原因、深层原因放在第一层把深层原因下移一层4逐层向下对每个中间事件重复问“它的直接原因是什么”，直到底事件中间事件与底事件底事件可观察、可命名、不再向下拆底事件写成“意识不足”类不可观察表述继续拆到可观察的行为、设备状态或记录缺失5检查完整性回读全树，问“还有没有其他直接原因”完备性检查记录团队确认主要路径已覆盖明显路径缺失补充分支，不追求一次穷尽，记录未覆盖项表2第3行是示例行：识别直接原因时，用或门连接顶事件的直接原因，产出第一层中间事件，完成标准为“直接原因之间是任一发生即可导致顶事件的关系”，不合格的情形是把间接原因放在第一层。底事件的命名质量决定后续割集和根因的质量。一个可用的底事件应当能回答“看什么记录、查什么状态、问谁”就能判定它发生或未发生。设备故障可以命名为“压力开关失效”，行为失效可以命名为“核对时未查看过敏栏”，组织条件可以命名为“夜班无具备资质者在岗”。“责任心不强”不能作为底事件，因为它不可观察、不可计数，也无法对应干预动作。三、门逻辑在医疗场景里怎么用：或门、与门、表决门各自对应什么失效关系门逻辑是故障树的语法。或门表示“输入事件中任一发生，输出事件即发生”；与门表示“所有输入事件同时发生，输出事件才发生”。医疗场景中，或门对应“单点失效即可导致后果”的路径，与门对应“多重防护同时失效才导致后果”的路径。门的选择直接改变最小割集的阶数和根因结论：同一组底事件，用或门连接会产生多个低阶割集，用与门连接会产生一个高阶割集。表3门逻辑的医疗语义对照门类型逻辑含义医疗场景中的典型用法对最小割集的影响误用信号或门任一输入发生，输出即发生给药流程中“药品错误”“剂量错误”“患者错误”任一发生即构成给药错误割集数量增加，阶数降低把本应“同时失效才出事”的防护拆成或门，根因清单膨胀与门所有输入同时发生，输出才发生药物泵未给药：泵故障与报警未触发同时发生才导致未给药割集阶数升高，数量减少把本应“任一即出事”的路径强行用与门，掩盖低阶风险表决门（k/n）n个输入中至少k个发生，输出才发生双人核对中“两人中至少一人未核对”才失效；设备冗余中“两路供氧均失效”需要按k/n规则展开，不能简单按或门/与门处理表决门被简化为或门或与门，割集失真禁止门在某个条件下输入才导致输出特定患者类型、特定班次、特定设备模式下才成立的失效路径条件作为一个底事件与输入事件做与运算条件未写入树，割集脱离实际发生条件表3第2行是示例行：或门在医疗场景中用于“给药流程中药品错误、剂量错误、患者错误任一发生即构成给药错误”，对最小割集的影响是割集数量增加、阶数降低，误用信号是把本应同时失效才出事的防护拆成或门。门逻辑的语义需要在建树时由团队逐门确认，不能由一个人建完再交给团队看。确认的动作是：对每个门问一句“这里真的是任一发生就出事，还是必须几个同时失效”。如果团队对某个门的类型有分歧，取更保守的解释（即按或门展开），并在建树记录中写明分歧和选择理由。四、最小割集怎么求：Fussell-Vesely下行法逐步操作与简化最小割集是导致顶事件发生的最小底事件组合：删掉割集中任何一个底事件，该组合就不再导致顶事件。求最小割集是FTA定性分析的核心目标。医疗FTA实践中，最小割集的数量和阶数直接决定根因清单的形态：一项ICU身体约束管理的故障树由8个中间事件、15个基本事件、9个或门组成，定性分析得到15个最小割集；非计划再次手术的故障树由8个一阶割集和104个二阶割集组成；硬镜损坏的故障树通过定性分析得到28个最小割集。表4Fussell-Vesely下行法操作表步骤从哪开始、做什么遇到与门遇到或门得到什么什么算这一步完成1从顶事件开始，把顶事件写在一行——初始行顶事件单独成行2逐级用门的输入事件替换输出事件输入事件横向排在同一行，增加割集容量输入事件竖向排成多行，增加割集数目展开后的割集集合所有门被替换为底事件3得到全部割集，但还不是最小割集——候选割集清单清单中每一项只含底事件4用布尔代数规则简化：吸收律（A＋AB＝A）、幂等律（A·A＝A）——去除被包含的割集剩余割集中没有一项是另一项的超集5素数法校验（可选）：给每个底事件赋一个不同素数，割集对应素数乘积，能整除的为被包含割集——最小割集清单两两之间不能互相整除表4第2行是示例行：逐级替换时，遇到与门把输入事件横向排在同一行、增加割集容量，遇到或门把输入事件竖向排成多行、增加割集数目，完成标准为所有门被替换为底事件。简化是下行法中最容易出错的一步。不简化的割集清单会把“A”和“A且B”同时列出，后者在前者存在时没有独立意义。医疗场景中，这种错误表现为根因清单里同时出现“未核对患者身份”和“未核对患者身份且未扫描腕带”，后者被前者吸收，不应作为独立根因。简化后的最小割集数量可能显著少于展开后的候选割集数量，但每一个最小割集都对应一条独立的失效路径。五、割集出来了，根因怎么定：阶数、重要度、可控性三层排序最小割集清单不是根因清单。最小割集描述的是“哪些底事件组合足以导致顶事件”，根因判定需要在此基础上回答“哪些组合最值得优先干预”。医疗FTA的定性排序有一条基本规则：阶数越小的最小割集越重要；在低阶最小割集中出现的基本事件比高阶最小割集中的基本事件重要；相同阶次条件下，出现次数多的基本事件更重要。这条规则加上可控性判断，构成根因排序的三层依据。表5根因判定三层依据依据层看什么什么算高优先级根因什么算低优先级或暂不干预取数位置割集阶数最小割集中底事件的数量一阶割集（单个底事件即可导致顶事件）四阶及以上割集，且其中底事件的发生概率极低最小割集清单逐项计数重要度底事件在最小割集中的出现频次；定量分析中的概率重要度或临界重要度在多个低阶割集中反复出现；或定量重要度排序靠前只在一个高阶割集中出现一次，且无可测概率割集清单频次统计；定量分析输出可控性该底事件是否对应一个可执行的干预动作（排班、清单、联锁、采购、培训）有明确责任人和可检查的干预物底事件是“系统设计缺陷”但当前预算或权限不可及底事件清单与措施可行性评估表5第1行是示例行：割集阶数层，看最小割集中底事件的数量，一阶割集判定为高优先级根因，四阶及以上且底事件概率极低判定为低优先级，取数位置为最小割集清单逐项计数。三层依据的用法不是加权打分，而是按顺序过滤。先取一阶割集和二阶割集中的底事件作为根因候选池，三阶及以上割集中的底事件只有在重要度极高时才进入候选池；然后对候选池中的底事件逐项判断可控性，可控性不足的标注为“待条件具备”，不进入当期干预清单。最终的根因清单是“低阶、高频出现、可控”的交集，而不是“所有出现过一次的底事件”。六、定量分析能用就用、不能用就不硬凑：顶事件概率与重要度的取数边界医疗FTA的定量分析通常落在两个数上：顶事件发生概率，以及各底事件的概率重要度或临界重要度。顶事件概率的近似算法是各最小割集概率之和（当割集之间互斥或概率较小时）；更精确的计算需要考虑割集之间的相交关系。硬镜损坏的FTA中，28个最小割集对应的顶事件概率为P(T)=0.22568116，各基本事件的重要度系数被逐一计算，排名前十的底事件用于制定质量管理计划。氧气供应系统的FTA中，顶事件被定义为氧气释放，定量分析识别出压力开关失效、密封不足和密封材料不当是主要底事件。表6定量取数路径与适用边界取数路径什么时候用需要什么数据输出什么什么情况下不用替代做法历史频率法底事件有可计数的事故或故障记录同类事件在观察期内的发生次数÷观察期暴露量底事件概率点估计观察期内零发生，或记录不完整用专家区间估计，标注不确定性设备故障率数据底事件是设备或部件失效厂家MTBF、维修工单统计底事件概率设备刚更新、无历史数据用同类设备文献数据，标注来源和适用性专家评估（传统或模糊）底事件是行为、组织条件，无历史频率多名专家独立给出概率区间或语言判断模糊数或区间概率专家意见高度分散且无法收敛不做定量，只做定性割集排序蒙特卡罗仿真割集数量多、相交关系复杂，解析计算困难底事件概率分布和逻辑结构顶事件概率分布底事件概率本身不可得定性分析优先，仿真仅用于敏感性探索不做定量底事件概率无任何可靠来源—仅最小割集和定性排序—根因判定按表5的阶数和可控性两层执行表6第1行是示例行：历史频率法用于底事件有可计数事故或故障记录的情形，需要观察期内发生次数和暴露量，输出概率点估计；观察期内零发生或记录不完整时不用，替代做法是专家区间估计并标注不确定性。定量结果的使用有一条边界：如果底事件概率来自专家评估而非实测，顶事件概率的绝对值不宜作为“真实发生率”引用，只能用于同一棵树内部不同底事件之间的相对排序。概率重要度或临界重要度的排序，在专家评估一致的条件下，可以作为根因优先级的辅助证据；专家评估分散时，排序不稳定，应退回定性规则。七、出现这些信号时先动哪一步：六条决策规则表7决策规则如果看到这个条件执行这个动作如果判定依据失效退路顶事件描述中包含“因为”“由于”“管理不到位”“培训不足”重写顶事件，只保留可判定的后果，把原因词下移到中间事件团队坚持原描述用“顶事件是否发生”作为检验：拿原描述去问“这件事发生了没有”，答不出就重写底事件写成“责任心不强”“意识不足”类不可观察表述继续向下拆，直到能对应到记录、设备状态或排班事实确实无法再拆该分支标记为“不可分析”，在报告中说明，不强行生成根因最小割集中存在一阶割集一阶割集中的底事件直接进入根因候选池，优先级不低于任何高阶割集一阶割集对应的底事件不可控标注“待条件具备”，同时检查是否有二阶割集可替代干预展开后的割集清单未做简化，同时出现“A”和“A且B”用吸收律和幂等律简化，去除被包含的割集割集数量过多、手工简化易错用素数法校验，或借助FTA软件（如OpenFTA）求最小割集定量分析中底事件概率全部来自专家评估且意见分散放弃顶事件概率的绝对值引用，只保留定性排序；或缩小专家范围重新评估专家仍无法收敛不做定量，根因按表5的阶数和可控性判定根因清单中多项底事件可控性不足将清单拆为“当期可干预”和“待条件具备”两部分，当期清单不纳入不可控项不可控项对应一阶割集对一阶割集不可控项启动风险接受或流程再设计，而不是搁置矛盾四段：割集完备性与根因可控性。矛盾陈述。FTA追求树结构的完备性：尽可能把所有导致顶事件的路径都展开，避免遗漏低阶割集。展开越充分，最小割集清单越长，其中不可控底事件（设备设计缺陷、建筑布局限制、预算外采购）的占比越高。根因清单如果严格按割集阶数排序，一阶割集中一旦出现不可控项，它会被放在最前面，但当期没有对应的干预动作。完备性把清单拉长，可控性把清单压短，两者在根因输出上指向不同方向。实质分析。割集完备性是分析质量的属性，可控性是干预可行性的属性，两者不在同一个层面上。一个不可控的一阶割集仍然需要被识别和记录，因为它的存在意味着风险无法通过当期管理动作消除；但它不应挤占可控根因的干预优先级。把不可控项从清单中删掉，割集失去完备性；把不可控项放在清单首位，干预资源被导向无法执行的动作。权衡规则。根因清单分两栏输出：第一栏是“当期可干预根因”，按“低阶优先、高频出现、可控”排序；第二栏是“不可控或待条件根因”，按阶数排序，注明需要什么条件才能转为可干预（预算、设计变更、上级审批）。两栏之间不混排，但第二栏的一阶割集需要在风险登记中单独标注，作为残余风险的依据。退路。不可控一阶割集既无法当期干预、也无法进入风险接受流程时，回到建树阶段检查该割集是否确实是一阶：有没有被遗漏的上层防护或条件门可以使其变为高阶。如果确认为一阶且不可控，将其作为流程再设计或设备更换的输入，不纳入当期PDCA的根因清单。八、一个硬镜损坏的FTA根因追溯：三次转折某医院医学工程科对硬镜损坏做FTA，回顾分析了一段时期的维修工单，统计47例故障，建立故障树并做定性和定量分析。定性分析得到28个最小割集，定量分析得到顶事件概率P(T)=0.22568116，并计算了各基本事件的重要度系数；排名前十的底事件用于制定质量管理计划，实施后故障率从22.57%降至5.87%。示例案例在此基础上展开判断转折，细节为合理设定。起点。团队手里有47例硬镜维修工单，工单记录了故障现象和维修更换的部件，但没有统一的故障树。初始讨论时，有人提出把顶事件定为“硬镜损坏”，然后直接按部件更换频率排序根因。分步操作。第一步，按表2确定顶事件和边界。团队把顶事件定为“硬镜在使用中发生影响成像或操作功能的损坏”，边界限定在手术室使用环节，不含清洗和转运环节的损坏。顶事件是一个可判定的后果，不包含原因。第二步，按表3逐层建树。硬镜损坏的直接原因分为“操作相关损坏”“清洗消毒相关损坏”“存储转运相关损坏”三条或门分支，每条分支继续向下拆到底事件。操作相关分支中，“术中碰撞”“插入时用力不当”“器械通过镜体时刮擦”作为或门输入。第三步，按表4用下行法求最小割集。展开后得到候选割集，用吸收律简化，最终得到28个最小割集。其中一阶割集的数量和对应的底事件是根因判定的起点。第一次转折。信号：团队原准备按维修工单中更换部件的频率排序根因，但割集清单显示，更换频率最高的部件并不总是出现在低阶割集中。当时的假设：更换频率高就等于根因优先级高。试了什么：把28个最小割集按阶数排序，标注每个割集中的底事件。一阶割集对应的底事件集中在“术中碰撞”和“清洗时镜体受力”两类，而更换频率最高的“光束断裂”出现在多个二阶割集中，单独作为一阶割集的情况不占主导。新信息：维修频率反映的是“坏了什么”，割集阶数反映的是“什么组合足以导致损坏”。上一轮“频率即优先级”的假设被推翻。换哪条路：根因候选池按割集阶数构建，一阶割集中的底事件优先进入；维修频率作为重要度的辅助证据，不作为排序的唯一依据。第二次转折。信号：一阶割集对应的底事件中，有一项是“清洗人员未按镜体受力方向操作”，团队认为这是“培训问题”，准备用全员培训作为干预。当时的假设：底事件对应的行为问题，都可以用培训解决。试了什么：按表5的可控性层逐项判断。“清洗人员未按受力方向操作”对应的干预动作可以是培训，也可以是清洗台上的方向标识、镜体固定装置或清洗流程中的强制步骤。培训的可控性最高但可检查性最低；方向标识和固定装置的可控性稍低但可观察、可复核。新信息：可控性不是“有没有培训”这一个选项，而是“哪种干预物最可检查”。上一轮“行为问题即培训”的假设被推翻。换哪条路：根因清单中该项对应的干预动作改为“清洗台方向标识＋镜体固定装置＋操作步骤纳入清洗核查单”，培训作为辅助措施，不作为降根因优先级的唯一依据。第三次转折。信号：28个最小割集中有多个三阶及以上割集，团队质疑是否需要全部纳入根因清单。当时的假设：所有最小割集都应该有对应的根因和干预。试了什么：按表5的三层依据过滤。三阶及以上割集中的底事件，只有在多个低阶割集中反复出现时才进入根因候选池。过滤后，三阶及以上割集中没有底事件满足“高频出现”条件，它们被归入“低优先级观察项”，不占当期干预清单。新信息：割集的完备性不等于根因清单的长度。最小割集需要全部识别，但根因清单只取低阶、高频、可控的交集。上一轮“割集清单即根因清单”的假设被推翻。换哪条路：根因清单按“低阶、高频、可控”输出，三阶及以上割集作为完备性记录保留，不进入当期干预；其中如果有一阶割集对应的不可控项，按表7的矛盾处理规则分栏输出。终点。最终产出是一张分栏根因清单：当期可干预根因集中在术中碰撞防护和清洗受力控制两类，对应方向标识、固定装置、核查单和培训的组合；不可控或待条件根因单独列出。定量分析的概率重要度排序作为辅助证据，用于确认清单中高频底事件的优先级。实施后故障率下降的数值来自公开研究，本机构的实际变化以自身前后数据为准。表8变量处置表变量案例中情形如果变量不同处置变化维修工单的完整性有故障现象和更换部件，但故障类型需重新归类工单已按故障树底事件编码建树和割集计算可以直接复用编码，减少归类误差门逻辑选择操作、清洗、存储三条分支按或门处理某两条分支必须同时失效才导致损坏该处改为与门，割集阶数升高，根因候选池相应缩小定量数据来源有维修频率和部分故障数据，可做定量底事件概率完全不可得只做定性割集分析，根因按阶数和可控性判定，不引用顶事件概率可控性判断行为类底事件有培训之外的工程或流程干预选项底事件确实只有培训一个选项培训作为干预，但需配套现场行为观察作为可检查证据，否则根因状态记为“待验证”三阶及以上割集的处理过滤后无高频底事件，归入观察项某底事件在三阶割集中反复出现且可控该底事件进入根因候选池，但优先级低于低阶割集中的底事件表8中权重较高的变量是“门逻辑选择”和“可控性判断”。门逻辑决定割集阶数的分布，可控性判断决定根因清单中哪些项能落地。九、完整版、精简版、极简版各保留什么、删什么完整版。全量运行表1至表7，适用性判断、建树、下行法求最小割集、三层根因判定、定量取数边界全部保留。序列：适用性速判→顶事件与边界→逐层建树→Fussell-Vesely下行法→割集简化→根因三层排序→定量分析（如数据允许）。不可妥协的底线：顶事件不含原因词；底事件可观察；割集经过简化；一阶割集进入根因候选池；定量结果不超出数据边界引用。精简版。保留表1适用性速判、表2的顶事件选择和底事件质量两行、表3的或门与与门两行、表4的下行法步骤2和简化步骤4、表5的割集阶数和可控性两层、表6的“不做定量”行、表7中顶事件含原因词、底事件不可观察、一阶割集三条规则。删掉的检查项：表2的边界确认和完备性检查两行，改为在团队讨论中口头确认；表3的表决门和禁止门，改为在遇到时单独讨论并记录；表4的素数法校验，改为以布尔代数简化结果为准；表5的重要度层，改为在一阶割集数量过多时补做；表6的历史频率法和蒙特卡罗仿真，改为按完整版判定直接执行、不单列退路。序列：速判→顶事件与底事件→或门/与门→下行法与简化→阶数和可控性→定性根因清单。极简版。保留表2的顶事件选择、表3的或门、表4的下行法步骤2和简化步骤4、表5的割集阶数，以及一