底事件的风险估计――构建底事件风险的概率模型；

项目的风险评价――顶事件的风险度计算。

6本文所做的工作

1）本文的工作就是在前人理论的基础上，改进FTA模型，把风险发生时项目的损失考虑进来，指出对项目影响最大的风险即为对风险发生时引起项目损失最大的那个风险因素，在本文中用风险重要度衡量，而原模型得出的风险只是风险率最大的那个风险。

具体做法为：引用《安全管理实践》的一段话。

2）要保护企业的信息系统安全，首先要知道企业中有哪些可识别的资产，哪些是最关键的、需要重点防护的，哪些是次要一些的但是也需要保护的，哪些是不需要专门关注的。

从防御的角度来说，对于外来的威胁有时很难准确把握，但对“自己”，应该做到心中有数。

当企业意识到资产的价值及可能面临的威胁时，才可以在保护这些资产的预算上做出明智的决定。

如果信息没有任何价值，那么就没有意义保护这些无庸的信息。

所以一个很重要的问题是企业应当评估如果不保护此信息的话损失有多大。

3）我们在软件项目中也应该评估如果不关注某一基本事件的话项目损失有多严重。

原模型需要改进的地方

在风险量化分析时引进一个公式

RS＝P×L

其中RS是风险重要度，P是基本事件的风险率，L是对项目造成的损失。

例证1

4）后面介绍的例子，主要演示原模型中对基本事件发生概率的处理的可取之处：采用集值统计原理对数据进行加工。

项目数据[5]。

如表1所示。

计算公式。

计算基本事件风险率的公式[6-9]：

计算结果如下：

1）基本事件风险率为：

3.96E-03,3.82E-03,4.11E-03,4.07E-03,4.37E-03,3.38E-03

2）顶事件风险率为：0.0235

3）基本事件的相对概率重要度分别为：

0.169，0.163，0.175，0.174，0.186，0.144

改进FTA对结果的操作

1）如果基本事件对项目造成的损失一样，则结果与原模型一致。

2）原项目中没有提供事件对项目损失的影响，在此做一假设，它们造成项目的损失分别为2,2,2,2,1,2，则第五个事件就不是对项目造成损失最大的事件。

3）下面一个例子将说明改进FTA的合理之处。

例证2

《安全管理实践》中一个定量分析的例子[10]如表2所示。

计算公式

单一预期损失公式[10]：

SLE=资产价值×暴露系数

年预期损失公式[10]：

ALE=SLE×年发生概率

结果分析

1）顶事件风险率为：0.98125