蝴蝶结分析(Bowtie)与防御屏障管理

一、Bowtie方法定义与起源

蝴蝶结分析（Bowtie Analysis）是一种以"核心危险（Top Event）"为中心、用左右两侧屏障（Barrier）表达风险控制的图形化方法：左侧是预防屏障，阻止危险源演变为顶事件；右侧是减缓屏障，在顶事件发生后减轻后果。因其图形左右展开像蝴蝶结而得名。它起源于 20 世纪 70—80 年代石油天然气行业，由壳牌（Shell）等企业与 CCPS（美国化工过程安全中心）推动成熟，后被 API（美国石油学会）等广泛采用。

在我国标准体系里，Bowtie 属于风险评估技术的一种：GB/T 27921—2023《风险管理 风险评估技术》（等同采用 IEC 31010:2019）将"蝴蝶结分析"列为推荐的风险评估技术之一；AQ/T 3034—2022《化工过程安全管理导则》强调对重大危险进行风险管控、设置保护层与应急措施，与 Bowtie 的屏障思路一致；化工行业常用保护层分析（LOPA）也与 Bowtie 互为补充。据此，Bowtie 在国内高风险企业有清晰的方法论依据。

二、核心原理：危险源—顶事件—后果，两侧屏障

Bowtie 把风险拆成一条因果链：左侧"危险源/威胁"经"预防屏障"过滤，若屏障失效则抵达中间的"顶事件（核心危险）"，再经"减缓屏障"过滤后可能产生若干"后果"。每道屏障都应是可验证、可维护的具体控制（如联锁、报警、隔离阀、应急程序）。这一结构让"我们防住了什么、还剩什么风险"一目了然。

三、标准实施步骤

1. 界定顶事件：明确"我们最怕发生什么"（如反应釜超压爆炸），写清楚不写模糊。
2. 识别危险源与威胁：左侧列出可能触发顶事件的因素（如超温、误操作、堵塞）。
3. 识别后果：右侧列出顶事件若发生会造成的结果（人员伤亡、泄漏、停产）。
4. 绘制两侧屏障：对每个威胁/后果设置预防/减缓屏障，屏障须具体到"谁、做什么、怎么验"。
5. 标注屏障状态：区分"已设且有效""已设待验证""缺失"，找出缺口。
6. 制定维护计划：为每道屏障定责任人、检查周期、失效应急预案（即"屏障破了怎么办"）。

四、适用场景

Bowtie 特别适合重大危险、低概率高后果的风险表达：化工工艺重大危险源、易燃有毒物料储运、高压/高温设备、承包商高风险作业。它既是分析工具，也是沟通工具——一张图能让非专业的董事会、政府监管者迅速看懂"风险在哪、防线几道"。

五、常见误区与失败原因

• 屏障写虚：写成"加强管理""注意安全"，无法验证，等于没屏障。
• 只画不养：图做完束之高阁，屏障实际失效没人知道。
• 忽略"屏障失效"：不设"如果这道防线破了怎么兜底"的应急层。
• 顶事件太宽：一个 Bowtie 含太多危险，图变成乱麻，失去聚焦。
• 与 LOPA/HAZOP 脱节：重复劳动或数据打架，未形成方法间的衔接。

六、与安寰家"咨询+数据+数智化"服务的结合点

安寰家深度咨询可主导重大危险的 Bowtie 建模，把 HAZOP/LOPA 的结论落到可视化屏障图，并帮助企业建立"屏障台账"；专业数据服务对屏障状态做行业对标，识别同类企业普遍薄弱的防线类型；数智化则把每道屏障接入巡检与监测预警——屏障到期未检、传感器报警即触发提醒，让"防线是否完好"从静态图纸变成实时看板，真正实现屏障全生命周期管理。

七、要点小结

• Bowtie 用一张图表达"危险源→顶事件→后果"及两侧防御屏障，源于石油天然气与 CCPS 实践。
• 方法论依据充分：GB/T 27921—2023 将其列为风险评估技术，AQ/T 3034—2022 的屏障/保护层思路与之契合。
• 成败在"屏障可验证、可维护、有兜底"；数智化把静态图变成动态防线监控。

FAQ：Bowtie 常见问题