GB/T 43942-2024 智能船舶风险评估方法

　　ICS 47. 020.99 CCS U 04

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 43942—2024

　　智能船舶风险评估方法

　　Method ofrisk assessmentforintelligentships

　　2024-04-25发布 2024-11-01实施

　　国家市场监督管理总局国家标准化管理委员会

　　

　　发

　　

　　布

　　GB/T 43942—2024

　　目 次

　　前言 Ⅲ

　　1 范围 1

　　2 规范性引用文件 1

　　3 术语和定义 1

　　4 缩略语 3

　　5 一般要求 3

　　5. 1 智能船舶风险评估流程 3

　　5. 2 前期准备阶段 4

　　5. 3 评估阶段 5

　　6 风险识别 6

　　6. 1 目的和范围 6

　　6. 2 风险识别流程 6

　　6. 3 风险识别方法 8

　　6. 4 风险识别结果 9

　　7 风险分析 9

　　7. 1 一般要求 9

　　7. 2 风险分析流程 9

　　7. 3 风险分析方法 10

　　7. 4 输出结果 12

　　8 风险评价 12

　　8. 1 一般要求 12

　　8. 2 风险评价流程 12

　　8. 3 风险评价方法 13

　　8. 4 输出结果 14

　　9 风险应对 14

　　9. 1 一般要求 14

　　9. 2 风险应对流程 14

　　9. 3 输出结果 16

　　附录 A (资料性) 人因可靠性分析 17

　　附录 B (资料性) 智能船舶潜在风险因素 19

　　附录 C (资料性) 海事数据库 22

　　参考文献 23

　　Ⅰ

　　GB/T 43942—2024

　　图 1 智能船舶风险评估流程图 4

　　图 2 智能船舶风险评估框架 6

　　图 3 智能船舶风险识别流程 7

　　图 4 预期功能安全风险识别工作流程 8

　　图 5 智能船舶风险分析流程图 9

　　图 6 智能船舶风险评价流程 13

　　图 7 ALARP准则示意图 13

　　图 8 智能船舶风险应对流程图 15

　　表 1 概率指数(PI)定义 11

　　表 2 后果指数(SI)定义 11

　　表 3 风险指数(RI)定义 12

　　表 B. 1 智能船舶典型事故场景和风险因素识别表 19

　　表 B. 2 典型智能船舶预期功能安全风险识别表 20

　　表 C. 1 海事数据库 22

　　Ⅱ

　　GB/T 43942—2024

　　前 言

　　本文件按照 GB/T 1. 1—2020《标准化工作导则 第 1部分 :标准化文件的结构和起草规则》的规定起草 。

　　请注意本文件的某些内容可能涉及专利 。本文件的发布机构不承担识别专利的责任 。

　　本文件由全国海洋船标准化技术委员会(SAC/TC12)提出并归 口 。

　　本文件起草单位 : 中国船级社 、国家能源集团航运有限公司 、中国船舶集团有限公司综合经济技术研究院 、上海海事大学 、中国软件评测中心(工业和信息化部软件与集成电路促进中心) 。

　　本文件主要起草人 :孙旭 、王 新 宇 、邢 承 海 、付 姗 姗 、李 恒 、蔡 玉 良 、廖 南 翔 、周 长 根 、郭 桦 、赵 晨 宁 、刘伟 、高鹏 、石竹 、马吉林 。

　　Ⅲ

　　GB/T 43942—2024

　　智能船舶风险评估方法

　　1 范围

　　本文件规定了智能船舶及系统风险评估的一般要求 、风险识别 、风险分析 、风险评价 、风险应对 。

　　本文件适用于智能船舶及系统风险评估 。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中 , 注 日期的引用文件 ,仅该日期对应的版本适用于本文件 ;不注日期的引用文件 ,其最新版本(包括所有的修改单) 适用于本文件 。

　　GB/T 24353—2022 风险管理 指南

　　GB/T 27921 风险管理 风险评估技术

　　3 术语和定义

　　下列术语和定义适用于本文件 。

　　3. 1

　　智能船舶 intelligentship

　　在船舶航行 、管理 、维护保养 、货物运输等方面实现智能化运行的船舶 。

　　注 : 其功能在不同程度上独立于船员 自主执行 。

　　3.2

　　风险 risk

　　不确定性对目标的影响 。

　　注 1: 影响是指偏离预期 ,偏离可以是正面的和/或负面的 ,可能带来机会和威胁 。

　　注 2: 目标可有不同维度和类型 ,可应用在不同层级 。

　　注 3: 通常风险可以用风险源 、潜在事件及其后果和可能性来描述 。

　　[来源 :GB/T 24353—2022,3. 1] 3.3

　　风险评估 risk assessment

　　风险识别 、风险分析 、风险评价和风险应对的整个过程 。

　　[来源 :GB/T 29246—2023,3. 64,有修改] 3.4

　　风险识别 risk identification

　　发现 、识别和描述风险的过程 。

　　[来源 :GB/T 29246—2023,3. 68] 3.5

　　风险分析 risk analysis

　　理解风险本质和确定风险级别的过程 。

　　[来源 :GB/T 29246—2023,3. 63]

　　1

　　GB/T 43942—2024

　　3.6

　　风险评价 risk evaluation

　　将风险分析的结果与风险准则比较以确定风险和(或)其大小是否可接受或可容忍的过程 。

　　[来源 :GB/T 29246—2023,3. 67] 3.7

　　风险因素 risk factor

　　单独或以组合的形式具有产生风险的内在可能性的因素 。

　　3. 8

　　风险准则 risk criteria

　　评价风险重要性的基准 。

　　[来源 :GB/T 29246—2023,3. 66] 3.9

　　事件 event

　　某些特定情形的产生或变化 。

　　注 1: 一个事件可包括一个或多个情形 ,并且可由多个原因导致 。

　　注 2: 事件可能是预期会发生但没发生的事情 ,也可能是预期不会发生但却发生的事情 。

　　注 3: 某事件有可能是风险源 。

　　[来源 :GB/T 24353—2022,3. 5]

　　3. 10

　　事故 accident

　　涉及人员伤亡(含失踪) 、船舶灭失/损坏 、财产损失以及环境破坏的意外事件 。

　　3. 11

　　可能性 likelihood

　　事件发生的概率 。

　　[来源 :GB/T 24353—2022,3. 7,有修改]

　　3. 12

　　风险控制措施 risk controlmeasure

　　降低风险的措施 。

　　注 : 包括任何过程 、方针 、手段 、惯例或其他修正风险的措施 。

　　3. 13

　　预期功能 intended functionality

　　由智能船舶及系统设计方定义的整船级或系统级预定功能 。

　　3. 14

　　预期功能安全 safety ofthe intended functionality

　　智能船舶及系统不存在因预期功能不足而导致危害的不合理风险 。

　　3. 15

　　风险触发条件 risk triggering condition

　　能够触发系统后续反应 ,并导致危害行为或无法防止/减缓误用(产生的后果)的条件 。

　　3. 16

　　误用 misuse

　　以智能船舶及系统设计方或服务提供方非预期的方式使用智能功能 。

　　注 : 误用包括直接误用和非直接误用 ,直接误用可能导致危害行为 ,是潜在风险触发条件 。非直接误用可能导致危害行为的可控性降低以及事件严重程度增加 。

　　2

　　GB/T 43942—2024

　　示例 1: 直接误用 — 船舶驾驶员在运行范围外启动智能功能 。

　　示例 2: 非直接误用 — 船舶驾驶员在需要持续监控的 自主功能运行时睡着或注意力转移 。

　　3. 17

　　功能不足 functionalinsufficiency

　　由于智能船舶及系统设计时考虑不全面 、技术能力受限 、系统规格描述不充分而导致危害行为或无法防止/减缓误用的情况 。

　　4 缩略语

　　下列缩略语适用于本文件 。

　　ALARP:最低合理可行(As Low As Reasonably Practicable)

　　BN: 贝叶斯网络(Bayesian Network)

　　COLREGS: 国际海上避碰规则(Convention on the InternationalRegulations forPreventing Colli- sionsatSea)

　　ETA:事件树分析(EventTree Analysis)

　　FMEA:故障模式与影响分析(Failure Mode and Effects Analysis)

　　FTA:故障树分析(FaultTree Analysis)

　　HAZOP:危险与可操作性分析(Hazard andOperability Analysis)

　　HCL:混合因果逻辑(HybridCausal Logic)

　　HFACS:人为因素分析与分类系统(Human Factor Analysis and Classification System)

　　HMI:人机交互接 口 (Human-Machine Interface)

　　HRA:人因可靠性分析(Human Reliability Analysis)

　　PI:概率指数(Probability Index)

　　RCM :风险控制措施(Risk ControlMeasure)

　　RCO:风险控制方案(Risk Control Option)

　　RI:风险指数(Risk Index)

　　SI:后果指数(Severity Index)

　　STPA:系统理论过程分析(System-Theoretic Process Analysis)

　　5 一般要求

　　5. 1 智能船舶风险评估流程

　　智能船舶风险评估流程可分为前期准备 、评估 、编制三个阶段 ,各阶段应符合 GB/T 24353—2022相关要求 ,见图 1。

　　3

　　GB/T 43942—2024

　　图 1 智能船舶风险评估流程图

　　5.2 前期准备阶段

　　5.2. 1 一般要求

　　5.2. 1. 1 评估范围

　　进行风险评估之前 ,应先由决策者确定待评估的问题以及有关的边界条件或限定条件 。这些信息应提供给开展风险评估的团队 ,风险评估团队包括风险识别团队 、风险分析团队 、风险评价团队 。如果进行额外工作 ,则应修改问题说明或边界条件或限定条件 ,并重新提交给风险评估团队 ,可视情况重复评估过程 。

　　5.2. 1.2 风险评估团队

　　开展风险评估工作 ,应成立风险评估团队 ,具体要求如下 :

　　a) 团队主持人或协调人一般有相关经验 ,负责做好准备工作 ,促成专家以团队形式开展工作 ;

　　b) 团队成员涵盖风险评估所需的安全 、设计或操作等方面的专家 ,可包括 :智能系统设计及研发工程师 、船舶设计师 、结构工程师 、机械工程师 、验船师 、海事官员 、风险评估专家 、人为因素专家 、辅助员和记录员等 ;

　　4

　　GB/T 43942—2024

　　c) 根据所分析的问 题 选 取 团 队 成 员 , 其 专 业 技 术 水 平 应 与 所 要 进 行 风 险 评 估 的 复 杂 程 度 相 适应 , 以能识别出评估内容的影响范围和性质 。

　　5.2.2 数据

　　5.2.2. 1 数据来源

　　客观数据可通过现场观测 、调查统计和数据库等途径获取 。 当缺少客观数据时 ,应通过专家判断 、物理模型 、数值模拟等来获得有价值的结果 , 以对客观数据进行补充 。

　　5.2.2.2 数据类型

　　智能船舶风险评估所需的数据包括事故数据(事故时间/地点 、事故后果 、事故船舶 、气象水文环境 、船员操纵等) 、险情数据(险情时间/地点 、涉事船舶 、气象水文环境 、船员操纵等)和操作故障的可靠性数据 、维修工作单和运行记录 、内部报告文件以及行业公告等 。

　　5.2.3 专家判断

　　5.2.3. 1 应用场景

　　智能船舶风险评估过程中 ,在缺少相关统计数据的情况下 ,专家应依据各自的经验进行判断 。专家判断可能存在于风险评估的不同阶段 ,如风险识别 、风险后果的估计 、风险控制方案的提出等 。专家判断数据具有相当的应用价值 , 当存在判断不一致的情况时 , 可对统计数据进一步评估以提高数据的有效性 。

　　5.2.3.2 判断处理

　　应用专家判断时 ,应涵盖不同领域的必要的专家 ,通过风险评估团队认可的方式形成一致的专家判断结果 。

　　5.2.4 人为因素

　　在智能船舶风险评估中应系统考虑人为因素 ,将其与事故的发生概率 、深层原因和影响联系起来 。可采用人因可靠性分析(HRA)将人为因素纳入智能船舶风险评估过程 。人因可靠性分析见附录 A。

　　5.3 评估阶段

　　5.3. 1 风险评估流程

　　智能船舶风险评估流程要求如下 :

　　a) 风险识别应能识别智能船舶航行中面临的危险事故场景和潜在的风险影响因素 ;

　　b) 风险分析应包含智能船舶危险事故场景发生的概率分析和后果严重程度的分析 ;

　　c) 风险评价应对智能船舶面临的事故场景进行风险度量 ,评估事故场景所处的风险水平 ;

　　d) 风险应对应提出风险控制措施(RCM)和风险控制方案(RCO) ;

　　e) 步骤 a) ~ d)可根据实际情况和需要(如 RCM/RCO可能引发新的风险)重复进行 ,风险应对应与其他步骤相互联系 ,最终形成 RCO,见图 2。

　　5

　　GB/T 43942—2024

　　图 2 智能船舶风险评估框架

　　5.3.2 评估结果及应用

　　风险评估应用人员通过对智能船舶某个方面的风险评估来对其风险进行分析 ,并将最终风险评估的结果作为决策人(如航运公司 、海事监管机构等)风险管控 、相关机构新标准制定/修改现有标准的技术支持或参考依据 。

　　6 风险识别

　　6. 1 目的和范围

　　6. 1. 1 识别目的

　　风险识别用于确定可能影响智能船舶的各种危险场景及其潜在的风险因素 ,并对关键事故场景开展风险分析 。

　　6. 1.2 识别范围

　　风险识别范围包括识别可能对智能船舶产生影响的风险源(包括系统潜在的功能不足等) 、影响范围 、风险事件以及可能导致事故场景发生的风险因素 。

　　6.2 风险识别流程

　　6.2. 1 一般要求

　　智能船舶风险识别主要包含危险事故场景识别及其相关风险因素识别 ,具体流程见图 3。

　　6

　　GB/T 43942—2024

　　图 3 智能船舶风险识别流程

　　6.2.2 事故场景识别

　　6.2.2. 1 事故场景识别应通过事故场景发生的概率和/或后果严重程度进行定性或定量分析 ,对事故场景的风险水平进行排序 ,获得高风险区域事故场景 。在此基础上 ,选取高风险区域作为关键事故场景进一步开展风险分析 。

　　6.2.2.2 智能船舶可能面临的事故场景 ,包括但不限于以下事故场景 :

　　a) 船舶设备/系统风险 ,包括自主航行系统等智能船舶设备所面临的风险(如控制失效 、控制错误 、控制影响过早/过晚 、持续控制有误) ;

　　b) 船舶航行风险,船舶航行可能面临的碰撞 、触碰 、搁浅等和通航环境密切相关的事故风险 ;

　　c) 预期功能安全风险,船舶智能化(设计不足 、设计不完备)所造成的功能不足 、数据不一致 、网络安全问题等方面的特殊风险问题 。

　　6.2.3 风险因素识别

　　6.2.3. 1 风险因素的识别主要包括人为因素 、设备因素 、环境因素和组织因素(如涉及)等潜在风险因素

　　7

　　GB/T 43942—2024

　　的识别 ,见附录 B。其中 ,设备因素和环境因素的识别可参考相关海事数据库(见附录 C 中表 C. 1) ,人为因素和组织因素可参考海事事故调查报告(MAIR)进行识别 。

　　6.2.3.2 设备因素应至少包含系统失效和功能不足两方面 ,风险因素识别包括以下内容 。

　　a) 系统失效安全风 险 因 素 识 别 包 括 机 械 系 统 、电 气 装 置 等 在 海 洋 环 境 中 长 期 运 行 发 生 软 硬 件故障 。

　　b) 由功能不足导致的预期功能安全风险因素识别包括 :

　　1) 识别可能由已知特定航行场景条件导致危害行为的潜在功能不足 ;

　　2) 识别可能由已知潜在功能不足导致的危害行为的潜在触发条件 。

　　6.3 风险识别方法

　　6.3. 1 风险识别方法包括 :

　　a) 基于证据的方法 ,例如检查表法以及对历史数据的审查 ;

　　b) 团队经验方法 ,例如专家团队可借助一套结构化的提示或问题系统地识别风险 ;

　　c) 风险识别技术(FMEA、STPA、HAZOP等 ,应符合 GB/T 27921相关要求) 。

　　6.3.2 在进行预期功能安全相关风险识别时 ,宜按照图 4 所示流程进行 。一般从潜在功能不足到潜在触发条件和从特定航行场景条件到潜在功能不足两个方向单独或同时进行识别 ,具体方法如下 。

　　a) 从潜在功能不足到潜在触发条件方向的归纳分析 :

　　1) 根据系统设计资料构建系统架构识别系统潜在功能缺陷 、不足清单 ;

　　2) 识别可能激活这些缺陷并导致危害行为等后果的场景条件 ,形成风险触发条件清单 。

　　b) 从特定航行场景条件到潜在功能不足方向的归纳分析 :

　　1) 通过对航行场景进行分析 ,识别场景中可能成为风险触发条件的因素 ,形成触发条件清单 ;

　　2) 分析受以上潜在触发条件或条件组合影响的系统功能或元素 ,最终确认系统功能不足清单 。其中 ,触发条件清单和功能不足清单均为功能不足风险因素清单的组成 。

　　图 4 预期功能安全风险识别工作流程

　　8

　　GB/T 43942—2024

　　6.4 风险识别结果

　　风险识别的输出结果应包括 :

　　a) 智能船舶及系统面临的事故场景 ;

　　b) 事故场景涉及的风险因素清单包括 :人为因素 、设备因素 、环境因素等 。

　　7 风险分析

　　7. 1 一般要求

　　风险分析应在风险识别的基础上 ,针对所识别出的智能船舶关键事故场景进行详细分析 ,并为风险评价提供输入 。

　　风险分析包括事故场景发生的可能性 、事故后果发生的可能性 、事故后果的严重性分析等 ,在此基础上进行风险估计 , 以确定事故场景的风险等级 。

　　7.2 风险分析流程

　　7.2. 1 概述

　　智能船舶风险分析应在风险识别的基础上 ,针对关键事故场景进行演化过程分析和风险估计(包括概率分析或者后果分析) ,风险分析流程见图 5。

　　图 5 智能船舶风险分析流程图

　　9

　　GB/T 43942—2024

　　7.2.2 概率分析

　　概率分析应确定事故场景及其后果事件发生的可能性 。事故场景概率包括 :

　　a) 初始事故场景发生的概率 ;

　　b) 事故场景中后果事件发生的概率 。

　　7.2.3 后果分析

　　后果分析应确定风险影响的性质和类型 。事故场景后果包括 :

　　a) 轻微后果高概率 ;

　　b) 严重后果低概率 ;

　　c) 以上两种情况的若干中间情况 。

　　7.2.4 风险估计

　　风险估计应考虑事故场景发生概率(包括初始事故场景发生的概率 、事故场景中后果事件发生的概率) 、事故后果严重性或者两者的结合 ,给出事故场景的风险等级 。

　　7.3 风险分析方法

　　7.3. 1 概述

　　风险分析过程中 ,可利用各种技术/方法来评估事故场景的风险 ,包括故障树分析(FTA) 、事件树分析(ETA) 、贝叶斯网络(BN) 、混合因果逻辑(HCL) 、仿真方法等 。

　　7.3.2 概率分析方法

　　概率分析通常使用三种方法估计可能性 , 以下方法可单独或组合使用 。

　　a) 利用相关历史数据来识别过去发生的事件 ,推断出该事件在未来发生的可能性 。所使用的数据应与正在分 析 的 系 统 、设 备 、组 织 或 活 动 的 类 型 有 关 。 如 果 某 些 事 件 历 史 上 发 生 频 率 很低 ,则无法仅使用该数据对事件发生的可能性进行估计 。

　　b) 利用故障树和事件树等技术来预测可能性 。 当历史数据无法获取或不够充分时 ,有必要通过分析系统 、活动 、设备或组织及其相关的失效或成功状况来推断风险的可能性 。

　　c) 利用专家判断估计可能性 。专家判断应利用一切现有的相关信息 ,包括历史 、具体系统 、具体组织 、试验及设计等方面的信息 。获得专家判断的常用方法包括德尔菲法和层次分析法等 。

　　7.3.3 后果分析方法

　　后果分析包括结果的描述 、制定详细的定量模型等多种形式 ,应考虑后果的严重性 、时效性 、连锁反应等 ,可从以下四个方面进行 :

　　a) 考虑现有的后果控制措施 ,并关注可能影响后果的相关因素 ;

　　b) 将风险后果与最初目标联系起来 ;

　　c) 对马上出现的后果和经过一段时间后可能出现的后果两种情况应同等重视 ;

　　d) 考虑次要后果 ,例如影响附属系统 、活动 、设备或组织的次要后果 。

　　7.3.4 风险估计方法

　　智能船舶风险估计应综合考虑概率和后果 ,可采用风险矩阵进行表征 。通过建立概率和后果的评

　　10

　　GB/T 43942—2024

　　估结果与风险矩阵中标准化概率指数和后果指数之间的映射关系 ,将风险评估结果运用风险矩阵进行表达 。如考虑环境破坏 、客船事故等特殊情况 ,表格的定义可适当进行调整 。 风险指数(RI)按公式(1)

　　计算 。

　　风险指数(RI) = 概率指数(PI) +后果指数(SI) ……………………( 1 )

　　式中 :

　　概率指数(PI) — 定义见表 1;

　　后果指数(SI) — 定义见表 2。

　　表 1 概率指数(PI)定义

　　概率指数(PI)

　　概率/频率

　　定义

　　概率/频率(船/年)

　　7

　　频繁

　　1艘船舶每月可能发生 1 次

　　10

　　6

　　可能性介于 7 与 5 之间

　　1艘船舶每年可能发生 1 次

　　1

　　5

　　可能

　　10艘船舶每年可能发生 1 次

　　0. 1

　　4

　　可能性介于 5 与 3 之间

　　100艘船舶每年可能发生 1 次

　　10- 2

　　3

　　不可能

　　1 000艘船舶每年可能发生 1 次

　　10- 3

　　2

　　可能性介于 3 与 1 之间

　　1 000艘船舶的生命周期(20 a)中可能发生 1 次

　　10-4

　　1

　　非常不可能

　　5 000艘船舶的生命周期(20 a)中可能发生 1 次

　　10- 5

　　表 2 后果指数(SI)定义

　　后果指数

　　(SI)

　　严重程度

　　对人员安全的影响

　　对船舶的影响

　　后果严重程度(等效死亡)

　　1

　　轻微的

　　单个或者较少的伤害

　　本船设备损坏

　　0. 01

　　2

　　显著的

　　多人的或者严重的伤害

　　不严重的船舶损坏

　　0. 1

　　3

　　严重的

　　单个或者少量的死亡

　　严重的船舶损坏

　　1

　　4

　　灾难性的

　　大量同时发生的死亡

　　全船损毁

　　10

　　7.3.5 风险指数

　　综合智能船舶事故场景的概率指数和后果指数 ,获得智能船舶风险指数矩阵 ,见表 3。 风险指数矩阵可分为三个 区 域 : 高 风 险 区 域 、低 风 险 区 域 以 及 两 者 之 间的 临 界 区 域 。 根 据 最 低 合 理 可 行 准 则(ALARP) ,除低风险区域的事故场景外 ,其他事故场景都应提出相应的风险应对措施 。

　　11

　　GB/T 43942—2024

　　表 3 风险指数(RI)定义

　　风险指数(RI)

　　概率/频率

　　后果严重程度(SI)

　　1

　　2

　　3

　　4

　　轻微的

　　显著的

　　严重的

　　灾难性的

　　7

　　频繁

　　8

　　9

　　10

　　11

　　6

　　可能性介于 7 与 5 之间

　　7

　　8

　　9

　　10

　　5

　　可能

　　6

　　7

　　8

　　9

　　4

　　可能性介于 5 与 3 之间

　　5

　　6

　　7

　　8

　　3

　　不可能

　　4

　　5

　　6

　　7

　　2

　　可能性介于 3 与 1 之间

　　3

　　4

　　5

　　6

　　1

　　非常不可能

　　2

　　3

　　4

　　5

　　注 : 深色部分为高风险区域 ,浅色部分为临界区域 ,无色部分为低风险区域 。

　　当概率或者后果难以进行量化估计时 ,可采取风险分析团队认可的其他方法进行风险估计并得出风险等级 。

　　7.4 输出结果

　　风险分析的输出结果应包括 :

　　a) 事故场景的演化过程 ;

　　b) 事故场景的风险等级(事故场景及其后果事件发生可能性的估计 , 或事故场景后果严重性估计 ,或两者的组合) 。

　　8 风险评价

　　8. 1 一般要求

　　风险评价应将风险分析的结果与预先设定的风险准则相比较 ,或将各种风险分析的结果相比较 ,从而确定风险的等级 。

　　8.2 风险评价流程

　　智能船舶风险评价应在风险分析的基础上 ,结合具体的风险度量要求 ,评价风险是否可接受 ,智能船舶风险评价流程见图 6。

　　12

　　GB/T 43942—2024

　　图 6 智能船舶风险评价流程

　　8.3 风险评价方法

　　8.3. 1 ALARP准则

　　针对智能船舶 ,宜采用安全工程领域的 ALARP准则将风险划分为三个等级段 ,见图 7。

　　a) 上段 :高风险区域 ,风险不可接受 ,应采取强制性风险控制措施 。

　　b) 中段 :合理可行的“ALARP”区域 ,根据风险控制措施的成本与效益情况 , 以确定合理可行的风险控制措施降低风险 。

　　c) 下段 :低风险区域 ,风险可忽略 ,无需采取任何风险控制措施 。

　　图 7 ALARP准则示意图

　　13

　　GB/T 43942—2024

　　8.3.2 风险评价准则

　　智能船舶风险评价还可遵循如下基本准则 :

　　a) ALARA准则 :可合理达到的情况下尽量低 ,不应接受高的风险 ,接受合理的风险 , 只要合理可行 ,任何重大危害的风险都应努力降低 ;

　　b) 风险水平大体相当(GAMAB)准则 :新系统的风险与已经接受的现存系统的风险相比较 ,新系统的风险水平至少应与现存系统的风险水平大体相当 ,又称作比较原则 ;

　　c) 最小内源性死亡率(MEM)准则 :新活动带来的危险不应比人们在日常生活中接触到的其他活动的风险有明显的增加 。

　　8.4 输出结果

　　风险评价的输出结果应包括 :

　　a) 事故场景的风险评价结果(如高 、中 、低) ;

　　b) 风险不可接受的事故场景清单(需进行风险应对) 。

　　9 风险应对

　　9. 1 一般要求

　　风险应对应在风险识别 、风险分析 、风险评价的基础上 ,针对风险不可接受的事故场景及其相关风险因素 ,有针对性地提出有效可行的 RCM ,并形成实际可行的 RCO。

　　提出的 RCO 既应解决原存在的风险 ,也应考虑由于 RCO 可能带来的新风险 。

　　9.2 风险应对流程

　　9.2. 1 概述

　　智能船舶风险应对在风险评价的基础上 ,针对不可接受的事故场景 ,提出风险控制措施 ,并对 RCM的有效性进行判断 ,进而提出 RCO,智能船舶风险应对流程见图 8。

　　14

　　GB/T 43942—2024

　　图 8 智能船舶风险应对流程图

　　9.2.2 RCM

　　智能船舶 RCM应包括对中间事件或风险影响因素的控制 ,涉及人为因素 、环境因素 、设备因素等多方面 ,应从以下六个方面提出 :

　　a) 通过改进设计 、程序优化 、组织合理化 、加强培训等措施减少事故发生的概率 ;

　　b) 通过改进设计 、限制功能 、切换控制权 、在系统操作及使用说明中清晰描述可能的误用等措施提升预期功能安全水平 ;

　　c) 通过增加系统冗余等措施减轻故障的影响 ,预防事故发生 ;

　　d) 改善可能发生事故的环境条件 , 降低事故发生及其后果发生的可能性 ;

　　e) 通过增加能量缓冲装置等方式减轻事故造成的后果 ;

　　f) 通过设置隔离屏障 , 防止事故连锁反应和持续扩散 。

　　9.2.3 RCM 有效性评估

　　通过分析 RCM 以对其 在 降 低 风 险 方 面 的 有 效 性 进 行 评 估 , RCM 有 效 性 的 评 价 可 包 括 : 功 能 性(RCM 能有效防止危害及其后果发生) 、完整性 、鲁棒性 、独立性(某一危害的不同 RCM 应具有相互独立性 ,且任一 RCM应与风险触发条件具有相互独立性) 、人因可靠性等方面 。

　　9.2.4 RCO

　　RCO应在风险控制措施的基础上 ,针对有效的 RCM 提出单一或组合风险应对手段 ,并通过风险评估团队认可 。

　　15

　　GB/T 43942—2024

　　9.3 输出结果

　　风险应对的输出结果应包括 :

　　a) 事故场景的 RCM清单及其有效性 ;

　　b) 事故场景的 RCO 清单 。

　　16

　　GB/T 43942—2024

　　附 录 A

　　(资料性)

　　人因可靠性分析

　　A. 1 总则

　　A. 1. 1 目的

　　人因可靠性分析用于评估人为因素对系统性能(故障)的影响 ,特别是在定量评价智能船舶涉及人的因素的风险发生的概率时 。

　　HRA可开展定性或定量分析 ,通常包含以下步骤 :

　　a) 识别关键任务 ;

　　b) 对关键任务进行任务分析 ;

　　c) 人因失误分析 ;

　　d) 人因失误量化 。

　　如对智能船舶航行风险进行全面量化 , 可采用建议的 HRA 方法对人因失误概率进行量化以融入风险评估 。多数情况下风险量化采用风险矩阵的方式 , 即确定风险发生概率的不同等级(如频繁发生 、经常发生 、偶尔发生 、很少发生 、几乎不发生) 。在此情况下 ,人因失误概率则可确定为不同的数量等级(例如 1×10-3) ,不宜过度强调人因失误概率的精确性 。

　　注 : 对于人因失误量化 , 目 前 可 用 的 数 据 极 其 有 限 , 尽 管 国 际 和 国 内 核 工 业 领 域 已 建 立 了 相 应 的 人 因 失 误 数 据库 ,但很难转移至海事领域使用 。 因此 , 当智能船舶风 险 评 估 需 要 来 自 HRA 的 定 量 结 果 时 ,专 家 判 断 可 能 是获得合适数据的最好方法 。

　　A. 1.2 HRA 的应用范围

　　与风险评估一样 , HRA可用于智能船舶的设计 、建造 、维护和操作阶段中涉及影响系统性能的人的行为或干预 。

　　A. 1.3 问题界定

　　在对问题进行界定时可额外考虑其他人为因素 ,可在人为因素分析与分类系统(HFACS)的框架指导下进行 ,也可从以下四个方面进行 :

　　a) 个人因素 ,例如知识 、经验 、压力 、疲劳 、注意力不集中 、生物节律 ;

　　b) 组织因素 ,例如配员 、组织的有效性 、培训丰富程度 ;

　　c) 任务特性 ,例如智能化任务复杂性 、完成任务的时间压力 ;

　　d) 智能系统人机交互接 口 (HMI) 。

　　A.2 人有关的智能船舶风险示例

　　A.2. 1 个人因素

　　个人因素如下 :

　　a) 缺乏能力 ,例如 :不熟悉智能功能和系统 ;

　　b) 注意力不集中 ,例如 :过度依赖智能系统 ,未进行必要的监控 。

　　A.2.2 组织因素

　　组织因素如下 :

　　17

　　GB/T 43942—2024

　　a) 船舶管理不到位 ,例如 :工作监督不到位 、对工作缺乏协调 、缺乏领导力 ;

　　b) 船东管理不到位 ,例如 : 日常规章和程序不到位 、缺乏维护资源 、缺乏安全操作资源 、对船舶组织的跟踪不到位 ;

　　c) 日常规章不到位 ,例如 :对智能系统维护 、应急准备的规定 。

　　A.2.3 任务特征

　　任务特征如下 :

　　a) 任务复杂性和任务量大 , 即任务太复杂太多导致超出智能系统设计范围 ,需人机配合完成 ;

　　b) 智能系统任务范围不明确 ;

　　c) 智能系统任务目标不明确 。

　　A.2.4 智能系统人机交互

　　智能系统人机交互如下 :

　　a) 交互接 口 ,例如 :交互接口设计未满足所有类型操作人员进行适当的接管操作 ;

　　b) 信息显示 ,例如 :连续显示保障船舶安全的相关信息 、不同操作位置信息的一致性 、所有必要信息集中显示等 ;

　　c) 远程交互 ,例如 :适当的远程交互接口 、船岸信息一致性等 。

　　18

　　GB/T 43942—2024

　　附 录 B

　　(资料性)

　　智能船舶潜在风险因素

　　根据智能船舶系统 、船舶航行风险的识别结果 ,总结了一些智能船舶面临的典型事故场景和风险因素(见表 B. 1) 。典型智能船舶预期功能安全风险见表 B. 2。

　　表 B. 1 智能船舶典型事故场景和风险因素识别表

　　类别

　　事故场景

　　风险因素

　　设备故障

　　控制设备故障

　　人为因素

　　设计缺陷 、制造缺陷 、污垢 、水渍 、维护不当

　　设备因素

　　断电 、计算机故障或失灵 、软件更新 、设备老化

　　环境因素

　　过热 、过冷 、湿热

　　通信设备故障

　　人为因素

　　设计缺陷 、制造缺陷 、污垢 、水渍 、维护不当

　　设备因素

　　断电 、计算机故障或失灵 、软件更新 、卫星定位系统干扰 、设备老化

　　环境因素

　　过热 、高纬度

　　环境监测设备失效

　　人为因素

　　设计缺陷 、制造缺陷 、污垢 、水渍 、维护不当

　　设备因素

　　断电 、计算机故障或失灵 、软件更新 、错 误 的 传 感 器 设 置 和/或 传 感 器 位 置 、设备老化

　　环境因素

　　过热 、结冰

　　通航风险

　　碰撞/触碰

　　人为因素

　　未采取安全航速 、避碰责任判断错误 、避碰 行 动 迟 缓 、未 进 行 避 碰 效 果 与 局面查核 、未采取避碰行动或行动不力 、未正 确 显 示 灯 光 信 号 、对 危 险 判 断 错误 、与他船沟通不畅 、未在正确的航线上行驶 、船员远程操控态势感知弱

　　设备因素

　　船舶控制设备/通信设备/环境监测设备故障

　　环境因素

　　能见度低 、受限水域 、通航密度大

　　搁浅/触礁

　　人为因素

　　航线设计不当 、对危 险 判 断 错 误 、未 使 用 安 全 航 速 、未 采 取 应 急 措 施 、采 取应急措施不合理 、对 船 舶 操 纵 不 当 、内 部 沟 通 不 畅 、未 正 确 使 用 助 航 设 备 、船员远程操控态势感知弱

　　设备因素

　　船舶控制设备/通信设备/环境监测设备故障

　　环境因素

　　能见度低 、受限水域 、通航密度大

　　火灾/爆炸

　　人为因素

　　在禁烟区吸烟 、未进行事前风险评估 、操作 不 当 产 生 火 花 、未 严 格 执 行 安 全检查 、私自储存易 燃 物 品 、未 记 录 危 险 材 料 清 单 、未 及 时 妥 当 处 理 油 沥 抹布 、由于大意疏忽而在非安全区域进行电焊或喷漆等工作 、在生活区域私接电线 、厨房用火不当 、未采取应急措施 、采取应急措施不合理

　　19

　　GB/T 43942—2024

　　表 B. 1 智能船舶典型事故场景和风险因素识别表 (续)

　　类别

　　事故场景

　　风险因素

　　通航风险

　　火灾/爆炸

　　设备因素

　　金属与甲板机械摩擦 、排烟口夹带火焰 、监 测 警 报 设 备 故 障 、自 动 灭 火 设 备故障

　　环境因素

　　持续高温天气

　　非传统风险

　　网络故障

　　人为因素

　　黑客攻击 、网络病毒

　　设备因素

　　断电 、通信系统故障 、数据丢失 、数据结构错误

　　环境因素

　　磁场干扰 、恶劣天气

　　海盗

　　人为因素

　　内外部沟通不畅 、航线设计不当

　　表 B.2 典型智能船舶预期功能安全风险识别表

　　智能功能

　　风险场景或触发条件

　　风险

　　感知/认知

　　通信链路拥堵 ,带宽不足 ,数据缓存过大

　　失去视频/红外感知数据

　　未识别到危险目标

　　与危险目标发生碰撞

　　系统未识别驾驶员是否在岗

　　接管请求无法及时得到回应

　　系统未识别驾驶员状态是否胜任接管工作

　　接管请求无法及时得到回应

　　无法识别到规划航线前方的实时水深信息

　　错误的水深信息

　　无法/错误识别推进系统/方向控制系统及

　　其他关键设备健康状态

　　错误的船舶健康状态信息

　　目标融合算法功能不足

　　目标信息错误

　　目标分类识别不准确

　　目标类别信息错误

　　气象信息未更新

　　错误的气象信息输入

　　假的/延迟的 AIS信号

　　错误的/延迟的目标信息

　　海图信息未更新

　　错误的海图信息

　　海事警告信息未更新

　　错误的航行警告信息

　　感知系统受到干扰无法提供准确 目标信息

　　(在外部环境中具体分析)

　　错误的目标信息

　　目标航速识别不准确

　　目标航速信息错误

　　感知信息不稳定

　　间歇性失去感知信息

　　目标融合算法计算缓慢

　　目标信息延迟

　　决策

　　决策不符合 COLREGS/区域交通规则

　　无法做出符合船舶安全的决策

　　决策不符合良好船艺

　　无法做出符合良好驾驶习惯的决策

　　软件计算花费太多时间

　　错过控制时机

　　20

　　GB/T 43942—2024

　　表 B.2 典型智能船舶预期功能安全风险识别表 (续)

　　智能功能

　　风险场景或触发条件

　　风险

　　决策

　　收到感知信息较晚/未收到

　　错失控制时机

　　决策算法设计不足

　　不应决策时提供多余的决策

　　控制

　　通信故障导致决策信息未传达至控制模块/太晚

　　无法形成控制指令/错过控制时机

　　舵响应速度与指令不匹配

　　无法及时控制航向

　　推进系统响应速度与指令不匹配

　　无法控制航速

　　算法导致的舵/推进系统响应错误

　　无法有效控制船舶

　　算法导致的错误的控制指令

　　无法达到既定控制 目标

　　不符合 COLREGS/区域交通规则的控制指令

　　无法做出安全的控制行为

　　控制指令未考虑船舶的稳性和操纵性特性

　　无法做出安全的控制行为

　　控制指令形成时间过长

　　无法及时完成控制

　　控制指令持续时间不够

　　无法有效控制桨舵

　　人机交互

　　决策系统显示错误/不足的决策信息

　　人员无法获得系统准确的决策信息

　　决策系统不提供决策信息

　　人员无法获得系统决策信息

　　感知系统提供错误/不足的态势信息

　　人员无法获得系统准确的感知信息

　　感知系统不提供态势信息

　　人员无法获得系统感知信息

　　HMI系统处理人员操作速度慢/无响应

　　无法保证系统及时响应

　　HMI系统操作过于复杂

　　人员使用效率低

　　HMI系统设计容易操纵错误的人员操作

　　人员操作错误

　　21

　　GB/T 43942—2024

　　附 录 C (资料性)海事数据库

　　通过研究和分析历史数据 ,可确定操作过程的薄弱环节及设计存在的问题 ,为制定规范和预防措施提供参考 ,全球常见海事数据库见表 C. 1。

　　表 C. 1 海事数据库

　　序号

　　数据库

　　数据类型

　　可用性

　　人的因素

　　1

　　英 国 海 事 事 故 调 查 组 织 Marine Accident Investigation Branch(MAIB)

　　叙述 、部分统计

　　公开

　　部分

　　2

　　澳大利亚交通安全局 Australian TransportSafetyBureau (ATSB)

　　叙述 、部分统计

　　公开

　　部分

　　3

　　加 拿 大 运 输 安 全 委 员 会 Transportation Safety Board of Canada(TSB)

　　统计 、叙述

　　公开

　　部分

　　4

　　美 国 国 家 运 输 安 全 委 员会 US National Transportation SafetyBoard(NTSB)

　　统计 、叙述

　　公开

　　部分

　　5

　　荷兰运输安全委员会 Dutch SafetyBoard(DSB)

　　叙述

　　公开

　　部分

　　6

　　丹麦海 事 事 故 调 查 委 员 会 Danish Maritime Accident In- vestigationBoard(DMAIB)

　　叙述

　　公开

　　部分

　　7

　　瑞典事故调查局 Swedish AccidentInvestigation Authority (SHK)

　　叙述

　　公开

　　部分

　　8

　　全球综合航 运 信 息 系 统 Global Integrated Shipping Infor- mation System(GISIS)

　　统计

　　公开

　　无

　　9

　　交 通 事 故 调 查 委 员会 Transport Accident Investigation Commission(TAIC)

　　叙述

　　公开

　　无

　　10

　　劳氏海事信息服务 Lloyd’s ListIntelligence

　　统计

　　非公开

　　无

　　11

　　埃信华迈 IHS-Fairplay

　　统计

　　非公开

　　无

　　22

　　GB/T 43942—2024

　　参 考 文 献

　　[1] GB/T 29246—2023 信息安全技术 信息安全管理体系 概述和词汇

　　23