《可靠性维修性保障性学术专著译丛：软件工程师可信计算基础》：
（2）一些系统失效是由处理已预期故障影响的容错机制的失效导致的。总之，我们的目标是排除未预期故障，并确保所有预期故障都已被妥善处理。为了达到这个目标，我们需要一种系统化的方法来识别并预测故障。为了识别故障，我们将要遵循的方法是首先识别出系统面临的危险，然后再识别出可能导致这些危险的故障。
3.11危险
3.11.1危险的概念
危险是一种系统状态。危险的概念主要来自于安全性领域。不正式地说，危险是一种可能导致灾难性后果的系统状态，即可能导致违犯安全操作的系统状态。
“危险”一词在日常用语中有多种含义，而危险是另一个可以说明仔细进行定义的重要性的例子。这里有一个术语定义：
危险状态：危险状态，通常缩写为危险，是一种可能导致未预料到的
生命损失、财产损失、能量释放或危险材料释放的状态。
与危险的概念相关的另一个概念是事故：
事故：一个事故是一次损失事件。
当系统处于危险状态，运行环境发生了改变，从而导致了损失事件，这个时候就发生了事故。
一个系统处于危险状态并不一定意味着会导致事故。系统可以在随意长的时间内处于危险状态，如果没有发生引发损失的环境改变，则不会发生故障。类似地，系统可以进入和退出危险状态很多次，而并不会发生故障。然后，很明显，我们不能相信处于危险状态的系统不会发生事故。
下面给出了一些危险和事故的例子：
（1）电梯门开着，但是没有升降吊箱。
要发生事故，必须产生一种环境状况，如一个人走过了打开的门而没有意料到该状态。
（2）铁路、公路交叉路口的门未能升起。
如果当火车接近时，汽车穿过铁轨，则很有可能发生碰撞事故，因为司机错误的认为继续前行是安全的。
（3）失效的汽车防抱死制动系统（ABS）由于不具备防抱死制动能力，未能对司机发出警报。
……
展开
