中国安全科学学报

H	库所	系统级危险	安全约束	追溯路径
H₁	$P H 1$	MASS未与他船保持安全距离	MASS需保证不会导致CS的安全距离	A₁
H₂	$P H 2$	MASS相对他船航向和航速不安全	MASS需确保当前航向/航速不会导致CS	A₁
H₃	$P H 3$	MASS未满足富余水深限制	MASS需确保富余水深满足富余水深限制	A₂
H₄	$P H 4$	MASS相对浅滩的航向/航速不安全	MASS需确保当前航向/航速可凭自身行动避免搁浅	A₂

库所

系统级危险

安全约束

追溯路径

H₁

P H 1

MASS未与他船保持安全距离

MASS需保证不会导致CS的安全距离

A₁

H₂

P H 2

MASS相对他船航向和航速不安全

MASS需确保当前航向/航速不会导致CS

A₁

H₃

P H 3

MASS未满足富余水深限制

MASS需确保富余水深满足富余水深限制

A₂

H₄

P H 4

MASS相对浅滩的航向/航速不安全

MASS需确保当前航向/航速可凭自身行动避免搁浅

A₂

H	库所	系统级危险	安全约束	追溯路径
H₁	$P H 1$	MASS未与他船保持安全距离	MASS需保证不会导致CS的安全距离	A₁
H₂	$P H 2$	MASS相对他船航向和航速不安全	MASS需确保当前航向/航速不会导致CS	A₁
H₃	$P H 3$	MASS未满足富余水深限制	MASS需确保富余水深满足富余水深限制	A₂
H₄	$P H 4$	MASS相对浅滩的航向/航速不安全	MASS需确保当前航向/航速可凭自身行动避免搁浅	A₂

库所

系统级危险

安全约束

追溯路径

H₁

P H 1

MASS未与他船保持安全距离

MASS需保证不会导致CS的安全距离

A₁

H₂

P H 2

MASS相对他船航向和航速不安全

MASS需确保当前航向/航速不会导致CS

A₁

H₃

P H 3

MASS未满足富余水深限制

MASS需确保富余水深满足富余水深限制

A₂

H₄

P H 4

MASS相对浅滩的航向/航速不安全

MASS需确保当前航向/航速可凭自身行动避免搁浅

A₂

STPA输出	追溯路径
A	A₁\ $P A 1$	A₂\ $P A 2$
H	H₁\ $P H 1$	H₂\ $P H 2$	H₃\ $P H 3$	H₄\ $P H 4$
U	U₁\ $P U 1$ ; U₂\ $P U 2$ ; U₃\ $P U 3$ ; U₄\ $P U 4$
L	U₁\ $P U 1$ ← L₁\ $P L 1$ -L₁₁\ $P L 11$	U₂\ $P U 2$ ← L₁₂\ $P L 12$ -L₁₅\ $P L 15$	U₃\ $P U 3$ ← L₁₆\ $P L 16$ -L₂₄\ $P L 24$	U₄\ $P U 4$ ← L₂₅\ $P L 25$ -L₃₅\ $P L 35$

STPA输出

追溯路径

A₁\

P A 1

A₂\

P A 2

H₁\

P H 1

H₂\

P H 2

H₃\

P H 3

H₄\

P H 4

U₁\

P U 1

; U₂\

P U 2

; U₃\

P U 3

; U₄\

P U 4

U₁\

P U 1

←
L₁\

P L 1

-L₁₁\

P L 11

U₂\

P U 2

←
L₁₂\

P L 12

-L₁₅\

P L 15

U₃\

P U 3

←
L₁₆\

P L 16

-L₂₄\

P L 24

U₄\

P U 4

←
L₂₅\

P L 25

-L₃₅\

P L 35

STPA输出	追溯路径
A	A₁\ $P A 1$	A₂\ $P A 2$
H	H₁\ $P H 1$	H₂\ $P H 2$	H₃\ $P H 3$	H₄\ $P H 4$
U	U₁\ $P U 1$ ; U₂\ $P U 2$ ; U₃\ $P U 3$ ; U₄\ $P U 4$
L	U₁\ $P U 1$ ← L₁\ $P L 1$ -L₁₁\ $P L 11$	U₂\ $P U 2$ ← L₁₂\ $P L 12$ -L₁₅\ $P L 15$	U₃\ $P U 3$ ← L₁₆\ $P L 16$ -L₂₄\ $P L 24$	U₄\ $P U 4$ ← L₂₅\ $P L 25$ -L₃₅\ $P L 35$

STPA输出

追溯路径

A₁\

P A 1

A₂\

P A 2

H₁\

P H 1

H₂\

P H 2

H₃\

P H 3

H₄\

P H 4

U₁\

P U 1

; U₂\

P U 2

; U₃\

P U 3

; U₄\

P U 4

U₁\

P U 1

←
L₁\

P L 1

-L₁₁\

P L 11

U₂\

P U 2

←
L₁₂\

P L 12

-L₁₅\

P L 15

U₃\

P U 3

←
L₁₆\

P L 16

-L₂₄\

P L 24

U₄\

P U 4

←
L₂₅\

P L 25

-L₃₅\

P L 35

T	含义
T₁	SCC未得到高风险警报、未提供必要的控制输入等
T₂	自主避碰/航线跟踪系统未提供避碰路径更新
T₃	S₁船已处于紧迫危险阶段或已无法避免搁浅
T₄	S₁船未减速停止、警告他船等
T₅	S₁船未紧急改变航向航速、警告他船等
T₆	S₁船未减速停船、改变船体姿态、减少吃水等
T₇	S₁船未紧急改变航向航速等

含义

T₁

SCC未得到高风险警报、未提供必要的控制输入等

T₂

自主避碰/航线跟踪系统未提供避碰路径更新

T₃

S₁船已处于紧迫危险阶段或已无法避免搁浅

T₄

S₁船未减速停止、警告他船等

T₅

S₁船未紧急改变航向航速、警告他船等

T₆

S₁船未减速停船、改变船体姿态、减少吃水等

T₇

S₁船未紧急改变航向航速等

T	含义
T₁	SCC未得到高风险警报、未提供必要的控制输入等
T₂	自主避碰/航线跟踪系统未提供避碰路径更新
T₃	S₁船已处于紧迫危险阶段或已无法避免搁浅
T₄	S₁船未减速停止、警告他船等
T₅	S₁船未紧急改变航向航速、警告他船等
T₆	S₁船未减速停船、改变船体姿态、减少吃水等
T₇	S₁船未紧急改变航向航速等

含义

T₁

SCC未得到高风险警报、未提供必要的控制输入等

T₂

自主避碰/航线跟踪系统未提供避碰路径更新

T₃

S₁船已处于紧迫危险阶段或已无法避免搁浅

T₄

S₁船未减速停止、警告他船等

T₅

S₁船未紧急改变航向航速、警告他船等

T₆

S₁船未减速停船、改变船体姿态、减少吃水等

T₇

S₁船未紧急改变航向航速等

E	v	d_E_，_v(τ)	E	v	d_E_，_v(τ)
T₁× $P U 1$	$P L 3$	d₁(τ)=(177，190，190，207)	T₁× $P U 4$	$P L 3$	d₁₀(τ)=(390，449，449，564)
T₂× $P H 1$	$P L 3 P U 1$	d₂(τ)=(113，120，120，132)	T₃× $P H 1$	$P L 3 P U 4$	d₁₁(τ)=(0，0，0，0)
T₄× $P A 1$	$P L 3 P U 1 P H 1$	d₃(τ)=(192，213，213，216)	T₄× $P A 1$	$P L 3 P U 4 P H 1$	d₁₂(τ)=∞
T₂× $P H 2$	$P L 3 P U 1$	d₄(τ)=(167，188，188，211)	T₃× $P H 2$	$P L 3 P U 4$	d₁₃(τ)=∞
T₅× $P A 1$	$P L 3 P U 1 P H 2$	d₅(τ)=(139，145，145，157)	T₅× $P A 1$	$P L 3 P U 4 P H 2$	d₁₄(τ)=∞
T₂× $P H 3$	$P L 3 P U 1$	d₆(τ)=(267，278，278，356)	T₃× $P H 3$	$P L 3 P U 4$	d₁₅(τ)=(14，14，14，14)
T₆× $P A 2$	$P L 3 P U 1 P H 3$	d₇(τ)=(28，28，28，28)	T₆× $P A 2$	$P L 3 P U 4 P H 3$	d₁₆(τ)= (14，14，14，14)
T₂× $P H 4$	$P L 3 P U 1$	d₈(τ)=(0，0，0，0)	T₃× $P H 4$	$P L 3 P U 4$	d₁₇(τ)= (0，0，0，0)
T₇× $P A 2$	$P L 3 P U 1 P H 4$	d₉(τ)=(274，306，306，396)	T₇× $P A 2$	$P L 3 P U 4 P H 4$	d₁₈(τ)=(28，28，28，28)

d_E_，_v(τ)

T₁×

P U 1

P L 3

d₁(τ)=(177，190，190，207)

T₁×

P U 4

P L 3

d₁₀(τ)=(390，449，449，564)

T₂×

P H 1

P L 3 P U 1

d₂(τ)=(113，120，120，132)

T₃×

P H 1

P L 3 P U 4

d₁₁(τ)=(0，0，0，0)

T₄×

P A 1

P L 3 P U 1 P H 1

d₃(τ)=(192，213，213，216)

T₄×

P A 1

P L 3 P U 4 P H 1

d₁₂(τ)=∞

T₂×

P H 2

P L 3 P U 1

d₄(τ)=(167，188，188，211)

T₃×

P H 2

P L 3 P U 4

d₁₃(τ)=∞

T₅×

P A 1

P L 3 P U 1 P H 2

d₅(τ)=(139，145，145，157)

T₅×

P A 1

P L 3 P U 4 P H 2

d₁₄(τ)=∞

T₂×

P H 3

P L 3 P U 1

d₆(τ)=(267，278，278，356)

T₃×

P H 3

P L 3 P U 4

d₁₅(τ)=(14，14，14，14)

T₆×

P A 2

P L 3 P U 1 P H 3

d₇(τ)=(28，28，28，28)

T₆×

P A 2

P L 3 P U 4 P H 3

d₁₆(τ)= (14，14，14，14)

T₂×

P H 4

P L 3 P U 1

d₈(τ)=(0，0，0，0)

T₃×

P H 4

P L 3 P U 4

d₁₇(τ)= (0，0，0，0)

T₇×

P A 2

P L 3 P U 1 P H 4

d₉(τ)=(274，306，306，396)

T₇×

P A 2

P L 3 P U 4 P H 4

d₁₈(τ)=(28，28，28，28)

E	v	d_E_，_v(τ)	E	v	d_E_，_v(τ)
T₁× $P U 1$	$P L 3$	d₁(τ)=(177，190，190，207)	T₁× $P U 4$	$P L 3$	d₁₀(τ)=(390，449，449，564)
T₂× $P H 1$	$P L 3 P U 1$	d₂(τ)=(113，120，120，132)	T₃× $P H 1$	$P L 3 P U 4$	d₁₁(τ)=(0，0，0，0)
T₄× $P A 1$	$P L 3 P U 1 P H 1$	d₃(τ)=(192，213，213，216)	T₄× $P A 1$	$P L 3 P U 4 P H 1$	d₁₂(τ)=∞
T₂× $P H 2$	$P L 3 P U 1$	d₄(τ)=(167，188，188，211)	T₃× $P H 2$	$P L 3 P U 4$	d₁₃(τ)=∞
T₅× $P A 1$	$P L 3 P U 1 P H 2$	d₅(τ)=(139，145，145，157)	T₅× $P A 1$	$P L 3 P U 4 P H 2$	d₁₄(τ)=∞
T₂× $P H 3$	$P L 3 P U 1$	d₆(τ)=(267，278，278，356)	T₃× $P H 3$	$P L 3 P U 4$	d₁₅(τ)=(14，14，14，14)
T₆× $P A 2$	$P L 3 P U 1 P H 3$	d₇(τ)=(28，28，28，28)	T₆× $P A 2$	$P L 3 P U 4 P H 3$	d₁₆(τ)= (14，14，14，14)
T₂× $P H 4$	$P L 3 P U 1$	d₈(τ)=(0，0，0，0)	T₃× $P H 4$	$P L 3 P U 4$	d₁₇(τ)= (0，0，0，0)
T₇× $P A 2$	$P L 3 P U 1 P H 4$	d₉(τ)=(274，306，306，396)	T₇× $P A 2$	$P L 3 P U 4 P H 4$	d₁₈(τ)=(28，28，28，28)

d_E_，_v(τ)

T₁×

P U 1

P L 3

d₁(τ)=(177，190，190，207)

T₁×

P U 4

P L 3

d₁₀(τ)=(390，449，449，564)

T₂×

P H 1

P L 3 P U 1

d₂(τ)=(113，120，120，132)

T₃×

P H 1

P L 3 P U 4

d₁₁(τ)=(0，0，0，0)

T₄×

P A 1

P L 3 P U 1 P H 1

d₃(τ)=(192，213，213，216)

T₄×

P A 1

P L 3 P U 4 P H 1

d₁₂(τ)=∞

T₂×

P H 2

P L 3 P U 1

d₄(τ)=(167，188，188，211)

T₃×

P H 2

P L 3 P U 4

d₁₃(τ)=∞

T₅×

P A 1

P L 3 P U 1 P H 2

d₅(τ)=(139，145，145，157)

T₅×

P A 1

P L 3 P U 4 P H 2

d₁₄(τ)=∞

T₂×

P H 3

P L 3 P U 1

d₆(τ)=(267，278，278，356)

T₃×

P H 3

P L 3 P U 4

d₁₅(τ)=(14，14，14，14)

T₆×

P A 2

P L 3 P U 1 P H 3

d₇(τ)=(28，28，28，28)

T₆×

P A 2

P L 3 P U 4 P H 3

d₁₆(τ)= (14，14，14，14)

T₂×

P H 4

P L 3 P U 1

d₈(τ)=(0，0，0，0)

T₃×

P H 4

P L 3 P U 4

d₁₇(τ)= (0，0，0，0)

T₇×

P A 2

P L 3 P U 1 P H 4

d₉(τ)=(274，306，306，396)

T₇×

P A 2

P L 3 P U 4 P H 4

d₁₈(τ)=(28，28，28，28)

情态	层	库所	托肯	托肯颜色	(τ_x，Q_x)
c₁	L层	$P L 3$	t₁/ $P L 3$	{ $P L 3$ ， $P L 3$ ，1，(0，0，0，0)}	(0，1)
c₂	U层	$P U 1$	t₁/ $P U 1$	{ $P U 1$ ， $P L 3 P U 1$ ，2，(177，190，190，207)}	(191，1)
$P U 4$	t₁/ $P U 4$	{ $P U 4$ ， $P L 3 P U 4$ >，2，(390，449，449，564)}	(468，0)
c₃	H层	$P H 1$	t₁/ $P H 1$	{ $P H 1$ ， $P L 3 P U 1 P H 1$ ，3，(290，310，310，339)}	(313，0)
t₂/ $P H 1$	{ $P H 1$ ， $P L 3 P U 4 P H 1$ ，3，(390，449，449，564)}	(468，0)
$P H 2$	t₁/ $P H 2$	{ $P H 2$ ， $P L 3 P U 1 P H 2$ ，3，(344，378，378，418)}	(380，0)
t₂/ $P H 2$	{ $P H 2$ ， $P L 3 P U 4 P H 2$ ，3，∞}	(∞，0)
$P H 3$	t₁/ $P H 3$	{ $P H 3$ ， $P L 3 P U 1 P H 3$ ，3，(444，468，468，563)}	(492，0)
t₂/ $P H 3$	{ $P H 3$ ， $P L 3 P U 4 P H 3$ ，3，(404，463，463，578)}	(482，0)
$P H 4$	t₁/ $P H 4$	{ $P H 4$ ， $P L 3 P U 1 P H 4$ ，3，(177，190，190，207)}	(191，1)
t₂/ $P H 4$	{ $P H 4$ ， $P L 3 P U 4 P H 4$ ，3，(390，449，449，564)}	(468，0)
c₄	A层	$P A 1$	t₁/ $P A 1$	{ $P A 1$ ， $P L 3 P U 1 P H 2 P A 1$ ，4，(482，523，523，555)}	(520，0.348)
t₂/ $P A 1$	{ $P A 1$ ， $P L 3 P U 1$ P_H2 $P A 1$ ，4，∞}	(∞，0)
t₃/ $P A 1$	{ $P A 1$ ， $P L 3 P U 4 P H 2 P A 1$ ，4，(483，523，523，575)}	(527，0.445)
t₄/ $P A 1$	{ $P A 1$ ， $P L 3 P U 4$ P_H2 $P A 1$ ，4，∞}	(∞，0)
$P A 2$	t₁/ $P A 2$	{ $P A 2$ ， $P L 3 P U 1 P H 3 P A 2$ ，4，(472，496，496，591)}	(520，0.566)
t₂/ $P A 2$	{ $P A 2$ ， $P L 3 P U 1 P H 3 P A 2$ ，4，(418，477，477，592)}	(496，0.828)
t₃/ $P A 2$	{ $P A 2$ ， $P L 3 P U 4 P H 4 P A 2$ ，4，(451，496，496，603)}	(517，0.779)
t₄/ $P A 2$	{ $P A 2$ ， $P L 3 P U 4 P H 4 P A 2$ ，4，(418，477，477，592)}	(496，0.828)

情态

层

库所

托肯

托肯颜色

(τ_x，Q_x)

c₁

L层

P L 3

t₁/

P L 3

{

P L 3

，

P L 3

，1，(0，0，0，0)}

(0，1)

c₂

U层

P U 1

t₁/

P U 1

{

P U 1

，

P L 3 P U 1

，2，(177，190，190，207)}

(191，1)

P U 4

t₁/

P U 4

{

P U 4

，

P L 3 P U 4

>，2，(390，449，449，564)}

(468，0)

c₃

H层

P H 1

t₁/

P H 1

{

P H 1

，

P L 3 P U 1 P H 1

，3，(290，310，310，339)}

(313，0)

t₂/

P H 1

{

P H 1

，

P L 3 P U 4 P H 1

，3，(390，449，449，564)}

(468，0)

P H 2

t₁/

P H 2

{

P H 2

，

P L 3 P U 1 P H 2

，3，(344，378，378，418)}

(380，0)

t₂/

P H 2

{

P H 2

，

P L 3 P U 4 P H 2

，3，∞}

(∞，0)

P H 3

t₁/

P H 3

{

P H 3

，

P L 3 P U 1 P H 3

，3，(444，468，468，563)}

(492，0)

t₂/

P H 3

{

P H 3

，

P L 3 P U 4 P H 3

，3，(404，463，463，578)}

(482，0)

P H 4

t₁/

P H 4

{

P H 4

，

P L 3 P U 1 P H 4

，3，(177，190，190，207)}

(191，1)

t₂/

P H 4

{

P H 4

，

P L 3 P U 4 P H 4

，3，(390，449，449，564)}

(468，0)

c₄

A层

P A 1

t₁/

P A 1

{

P A 1

，

P L 3 P U 1 P H 2 P A 1

，4，(482，523，523，555)}

(520，0.348)

t₂/

P A 1

{

P A 1

，

P L 3 P U 1

P_H2

P A 1

，4，∞}

(∞，0)

t₃/

P A 1

{

P A 1

，

P L 3 P U 4 P H 2 P A 1

，4，(483，523，523，575)}

(527，0.445)

t₄/

P A 1

{

P A 1

，

P L 3 P U 4

P_H2

P A 1

，4，∞}

(∞，0)

P A 2

t₁/

P A 2

{

P A 2

，

P L 3 P U 1 P H 3 P A 2

，4，(472，496，496，591)}

(520，0.566)

t₂/

P A 2

{

P A 2

，

P L 3 P U 1 P H 3 P A 2

，4，(418，477，477，592)}

(496，0.828)

t₃/

P A 2

{

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(451，496，496，603)}

(517，0.779)

t₄/

P A 2

{

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(418，477，477，592)}

(496，0.828)

情态	层	库所	托肯	托肯颜色	(τ_x，Q_x)
c₁	L层	$P L 3$	t₁/ $P L 3$	{ $P L 3$ ， $P L 3$ ，1，(0，0，0，0)}	(0，1)
c₂	U层	$P U 1$	t₁/ $P U 1$	{ $P U 1$ ， $P L 3 P U 1$ ，2，(177，190，190，207)}	(191，1)
$P U 4$	t₁/ $P U 4$	{ $P U 4$ ， $P L 3 P U 4$ >，2，(390，449，449，564)}	(468，0)
c₃	H层	$P H 1$	t₁/ $P H 1$	{ $P H 1$ ， $P L 3 P U 1 P H 1$ ，3，(290，310，310，339)}	(313，0)
t₂/ $P H 1$	{ $P H 1$ ， $P L 3 P U 4 P H 1$ ，3，(390，449，449，564)}	(468，0)
$P H 2$	t₁/ $P H 2$	{ $P H 2$ ， $P L 3 P U 1 P H 2$ ，3，(344，378，378，418)}	(380，0)
t₂/ $P H 2$	{ $P H 2$ ， $P L 3 P U 4 P H 2$ ，3，∞}	(∞，0)
$P H 3$	t₁/ $P H 3$	{ $P H 3$ ， $P L 3 P U 1 P H 3$ ，3，(444，468，468，563)}	(492，0)
t₂/ $P H 3$	{ $P H 3$ ， $P L 3 P U 4 P H 3$ ，3，(404，463，463，578)}	(482，0)
$P H 4$	t₁/ $P H 4$	{ $P H 4$ ， $P L 3 P U 1 P H 4$ ，3，(177，190，190，207)}	(191，1)
t₂/ $P H 4$	{ $P H 4$ ， $P L 3 P U 4 P H 4$ ，3，(390，449，449，564)}	(468，0)
c₄	A层	$P A 1$	t₁/ $P A 1$	{ $P A 1$ ， $P L 3 P U 1 P H 2 P A 1$ ，4，(482，523，523，555)}	(520，0.348)
t₂/ $P A 1$	{ $P A 1$ ， $P L 3 P U 1$ P_H2 $P A 1$ ，4，∞}	(∞，0)
t₃/ $P A 1$	{ $P A 1$ ， $P L 3 P U 4 P H 2 P A 1$ ，4，(483，523，523，575)}	(527，0.445)
t₄/ $P A 1$	{ $P A 1$ ， $P L 3 P U 4$ P_H2 $P A 1$ ，4，∞}	(∞，0)
$P A 2$	t₁/ $P A 2$	{ $P A 2$ ， $P L 3 P U 1 P H 3 P A 2$ ，4，(472，496，496，591)}	(520，0.566)
t₂/ $P A 2$	{ $P A 2$ ， $P L 3 P U 1 P H 3 P A 2$ ，4，(418，477，477，592)}	(496，0.828)
t₃/ $P A 2$	{ $P A 2$ ， $P L 3 P U 4 P H 4 P A 2$ ，4，(451，496，496，603)}	(517，0.779)
t₄/ $P A 2$	{ $P A 2$ ， $P L 3 P U 4 P H 4 P A 2$ ，4，(418，477，477，592)}	(496，0.828)

情态

层

库所

托肯

托肯颜色

(τ_x，Q_x)

c₁

L层

P L 3

t₁/

P L 3

{

P L 3

，

P L 3

，1，(0，0，0，0)}

(0，1)

c₂

U层

P U 1

t₁/

P U 1

{

P U 1

，

P L 3 P U 1

，2，(177，190，190，207)}

(191，1)

P U 4

t₁/

P U 4

{

P U 4

，

P L 3 P U 4

>，2，(390，449，449，564)}

(468，0)

c₃

H层

P H 1

t₁/

P H 1

{

P H 1

，

P L 3 P U 1 P H 1

，3，(290，310，310，339)}

(313，0)

t₂/

P H 1

{

P H 1

，

P L 3 P U 4 P H 1

，3，(390，449，449，564)}

(468，0)

P H 2

t₁/

P H 2

{

P H 2

，

P L 3 P U 1 P H 2

，3，(344，378，378，418)}

(380，0)

t₂/

P H 2

{

P H 2

，

P L 3 P U 4 P H 2

，3，∞}

(∞，0)

P H 3

t₁/

P H 3

{

P H 3

，

P L 3 P U 1 P H 3

，3，(444，468，468，563)}

(492，0)

t₂/

P H 3

{

P H 3

，

P L 3 P U 4 P H 3

，3，(404，463，463，578)}

(482，0)

P H 4

t₁/

P H 4

{

P H 4

，

P L 3 P U 1 P H 4

，3，(177，190，190，207)}

(191，1)

t₂/

P H 4

{

P H 4

，

P L 3 P U 4 P H 4

，3，(390，449，449，564)}

(468，0)

c₄

A层

P A 1

t₁/

P A 1

{

P A 1

，

P L 3 P U 1 P H 2 P A 1

，4，(482，523，523，555)}

(520，0.348)

t₂/

P A 1

{

P A 1

，

P L 3 P U 1

P_H2

P A 1

，4，∞}

(∞，0)

t₃/

P A 1

{

P A 1

，

P L 3 P U 4 P H 2 P A 1

，4，(483，523，523，575)}

(527，0.445)

t₄/

P A 1

{

P A 1

，

P L 3 P U 4

P_H2

P A 1

，4，∞}

(∞，0)

P A 2

t₁/

P A 2

{

P A 2

，

P L 3 P U 1 P H 3 P A 2

，4，(472，496，496，591)}

(520，0.566)

t₂/

P A 2

{

P A 2

，

P L 3 P U 1 P H 3 P A 2

，4，(418，477，477，592)}

(496，0.828)

t₃/

P A 2

{

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(451，496，496，603)}

(517，0.779)

t₄/

P A 2

{

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(418，477，477，592)}

(496，0.828)

基于STPA和FTPN的海上自主水面船舶航行实时风险评估

PDF下载

席永涛 ¹^,² , 刘鹏杰 ² , 胡甚平 ¹ , 韩冰 ³

中国安全科学学报 | 安全社会科学与安全管理安社科 2024,34(8): 18-26

收起

中国安全科学学报 | 安全社会科学与安全管理安社科 2024, 34(8): 18-26

基于STPA和FTPN的海上自主水面船舶航行实时风险评估

全屏

席永涛¹^,², 刘鹏杰², 胡甚平¹, 韩冰³

作者信息

¹ 上海海事大学商船学院，上海 201306

² 上海海事大学海洋科学与工程学院，上海 201306

³ 上海船舶运输科学研究所有限公司，上海 200135

席永涛 (1977—)，男，河北无极人，博士，教授，博士生导师，主要从事交通运输安全与管理、人因可靠性分析、风险建模与评估方面的研究。E-mail：xiyt@shmtu.edu.cn。

胡甚平，教授。

韩冰，研究员。

Real-time risk assessment for maritime autonomous surface ships based on STPA and FTPN

Yongtao XI¹^,², Pengjie LIU², Shenping HU¹, Bing HAN³

Affiliations

¹ Merchant Marine College，Shanghai Maritime University，Shanghai 201306，China

² College of Ocean Science and Engineering，Shanghai Maritime University，Shanghai 201306，China

³ Shanghai Ship and Shipping Research Institute，Shanghai 200135，China

出版时间: 2024-08-28 doi: 10.16265/j.cnki.issn1003-3033.2024.08.1290

文章导航

摘要

收起

为实时监测海上自主水面船舶(MASS)航行过程风险，基于系统理论事故模型与过程(STAMP)建立MASS的安全控制结构，采用系统理论过程分析法(STPA)确定损失/事故和系统级危险，识别不安全控制行为并分析损失场景，构建系统状态转化过程模型；采用模糊时间Petri网(FTPN)建模，以设定的MASS航行场景得到相关模糊时间函数并推算FTPN的情态演进；引入新的风险水平表达式并通过系统实时损失/事故二维路径图来可视化系统的实时风险水平和系统不安全状态的转化路径。结果表明：设定的航行场景在当前时刻下，缺少安全水深输入、未更新避碰路径、航向航速不安全、搁浅是风险最高的系统不安全状态，并对应4条风险最高的转化路径；STPA驱动下的FTPN过程模型能全面评估MASS航行的实时风险水平，以系统实时损失/事故二维路径图作为可视化界面，用于监管MASS航行中不安全系统状态并描述其转化路径。

关键词

系统理论过程分析(STPA) / 模糊时间Petri网(FTPN) / 海上自主水面船舶(MASS) / 实时风险评估 / 转化路径

Abstract

收起

In order to monitor the risk during the navigation of MASS，the safety control structure of MASS was constructed based on System-theoretic Accident Model and Process (STAMP). STPA was used to define the losses/accidents and system-level hazards，identify unsafe control actions，analyze loss scenarios，and construct an accident model for system state transition. FTPN was used to model the process model，and a given MASS navigation situation was used to obtain the relevant fuzzy time functions and to project the situational evolution of FTPN. A new risk level expression was introduced，and a two-dimensional path diagram of system loss/accident was used to visualize the real-time system risk level and system unsafe states transition paths. The results show that at the current moment of the set navigation situation，no safe water depth input，no updated collision avoidance path，unsafe heading and speed，and grounding are the highest risk system unsafe states and correspond to the four highest risk transition paths. The study shows that the FTPN process model driven by STPA can comprehensively assess the real-time risk level of MASS navigation. Visualize real-time risk with a two-dimensional path diagram of real-time losses/accidents of the system，which can monitor the unsafe system states during MASS navigation and describe their transition paths.

Key words

systems-theoretic process analysis (STPA) / maritime autonomous surface ships (MASS) / fuzzy-timing Petri net (FTPN) / transition path / real-time risk assessment

引用本文

席永涛, 刘鹏杰, 胡甚平, 韩冰. 基于STPA和FTPN的海上自主水面船舶航行实时风险评估. 中国安全科学学报, 2024 , 34 (8) : 18 -26 . DOI: 10.16265/j.cnki.issn1003-3033.2024.08.1290

Yongtao XI, Pengjie LIU, Shenping HU, Bing HAN. Real-time risk assessment for maritime autonomous surface ships based on STPA and FTPN[J]. China Safety Science Journal, 2024 , 34 (8) : 18 -26 . DOI: 10.16265/j.cnki.issn1003-3033.2024.08.1290

正文

收起

0 引言

收起

海上自主水面船舶(Maritime Autonomous Surface Ships，MASS)是船舶工业的发展趋势，其自主航行系统基于感知、决策、执行的反馈和控制回路，具备更强的规划和再规划能力^[1]。从系统角度来看航行事故的致因，归结为不充分的安全约束，需要在航行过程中加强控制和安全约束^[2]。因此，船舶航行风险评估与监测应具有动态性并实施到自主船舶的控制系统中，为船舶提供评估和监管风险的能力并保证系统完整性^[1]。

自主船舶系统复杂性高且仍将不断增加，研究表明：系统理论过程分析法(Systems-Theoretic Process Analysis，STPA)在复杂系统安全分析方面更具优势^[2]，其基于系统理论事故模型与过程(System-Theoretic Accident Modeling and Processes，STAMP)，不仅将事故发生归因于组件故障，而且包括系统组件之间的不安全交互^[3]。STAMP/STPA在MASS安全研究中呈现2种趋势，一是直接应用^[4-5];二是与其他方法结合，以实现量化分析^[1，6]。但相关研究多集中在风险建模、静态危险识别和分析上。虽有研究采用贝叶斯网络实现了安全水平的动态计算，但由于并非所有故障都具有随机性，如软件故障和人因，因此，使用贝叶斯网络等概率工具计算安全水平并不严格符合STAMP的假设^[3]。另一方面，STPA更关注于系统受控过程中的时间、空间和逻辑^[7]，故ZELESKIDS等^[7]通过提出RealTSL方法来实时确定复杂系统的安全水平，但没有考虑实时系统数据的不确定性和损失/事故路径的潜在组合。

因此，笔者拟基于STAMP建立MASS的安全控制结构，采用STPA确定损失/事故和系统级危险，识别不安全控制行为并分析损失场景，将STPA的输出视为可能的不安全系统状态，构建系统状态转化的过程模型，转化为模糊时间Petri网(Fuzzy-Timing Petri Net，FTPN);利用该网对系统状态转化中的时态现象进行时间建模和可能性分析；引入新的安全水平表达式来衡量系统在特定时刻的风险水平，以系统实时损失/事故二维路径图作为可视化界面，以期为MASS的航行监管和风险控制提供参考。

1 实时风险评估的理论基础

收起

STPA-FTPN实时风险评估方法的基础是STPA危害分析和FTPN过程模型。STPA将系统的安全性问题视作系统的涌现性，其输出是系统不安全状态，并关联事故的可能发生方式^[7]，这是构建实时风险模型的基础。FTPN考虑到系统状态转化的时序特性，基于STPA的输出构建不安全系统状态转化的过程模型。所提出的实时风险评估方法旨在实时监管系统运行中的不安全状态，使其能够针对最有可能先发生的不安全系统状态做出决策，提早应对以避免事故发生。

STPA-FTPN实时风险评估方法采用STAMP事故模型的定义和假设，其理论依据为：①风险是不确定性对目标的影响^[8]，并不是所有系统故障都具有随机性^[9];②系统接近一个意外状态的程度是动态的^[7];③STPA可全面描述和分析导致事故的不安全系统状态转化^[7];④FTPN可实现系统状态转化的建模^[10]。

2 实时风险评估方法

收起

2.1 实时风险评估模型

STPA-FTPN实时风险评估方法分为3个阶段：①系统不安全状态识别，通过STPA识别和分析目标系统的危害，获取系统损失/事故、系统级危险、不安全控制行为、损失场景及追溯路径；②系统不安全状态转化模型的构建，基于STPA的输出，通过FTPN建立目标系统状态转化的过程模型；③系统实时风险评估，通过FTPN的完全情态集和新的系统风险水平表达式评估系统的实时风险水平，并以系统实时损失/事故二维路径图作为可视化界面。

STPA-FTPN方法的阶段、步骤及他们间的相互关系如图1所示。STPA-FTPN实时风险评估过程需要：①STPA的输出。损失/事故A、系统级危险H、不安全控制行为U、损失场景L和追溯路径。②网初始情态。由系统及传感器数据流监测。③模糊延迟。模糊延迟与系统状态转化相关，通过历史数据、试验数据和专家知识获得。④当前系统所处的运行模式。STPA的每个输出都有其所属的运行模式，系统在不同运行场景其运行模式不同，运行模式由系统运行过程中提供的反馈数据流提供。

2.2 系统不安全状态识别

第1阶段识别和分析系统的不安全状态，定义相应的系统级安全约束并实时监管，确保系统事故不会发生。步骤如下：

1) 定义分析目的。包括定义损失/事故、识别系统级危险、确定系统级安全约束。危险是一种系统状态或一系列条件，在特定的最不利环境下，会导致事故/损失^[3]。

2) 建立系统控制结构。控制结构是由反馈控制回路组成的系统模型^[3]，其通过一套反馈控制回路为系统建模，捕捉功能性关系及相互作用。

3) 识别不安全控制行为。不安全控制行为指特定情境及最坏环境可能导致危险的控制行为^[3]。

4) 识别损失场景。损失场景描述的是可能导致不安全控制行为以及危险的诱因^[3]，识别损失场景即识别系统中可能出现不安全控制的原因并构建合适的情境来解释。

5) 构建追溯路径。追溯路径表示STPA输出间相互转化的复杂关系。

2.3 系统不安全状态转化

建立系统不安全状态转化的过程模型，通过监测当前系统的不安全状态，发现其转化路径并实现未来不安全系统状态的预警。

系统不安全状态转化过程模型中的不确定性信息采用可能性理论处理^[11]。基于Petri网^[10]和模糊时间高级Petri网(Fuzzy-Timing High Level Petri Nets，FTHN)^[12]理论，考虑系统状态转化的时序特性，构建系统不安全状态转化的FTPN过程模型。FTPN为由库所P、变迁T、流关系E、转换函数集F、托肯颜色集Σ、着色函数B和模糊延迟D组成的七元组，即N={P，T，E，F，Σ，B，D}。

FTPN中托肯t_k/P_i具备4种颜色。托肯所在库所P_i、生成路径v、路径完整度n^[7]、模糊时间戳

π t k / P i

(τ)。t_k/P_i={P_i，v，n，

π t k / P i

(τ)}表示生成路径为v、路径完整度为n、模糊时间戳为

π t k / P i

(τ)的托肯位于库所P_i，其中，v为生成该托肯的库所序列，如v=P_SP_U表示生成路径为P_S→P_U，P_S表示输入库所，t为托肯，i为系统不安全状态的符号，k=1，2，…，K，K为库所P_i内托肯的数目。FTPN过程模型的构建步骤如下：

1) 依据STPA输出定义FTPN中的库所P。即系统4类不安全状态(A、H、U、L)分别由FTPN的4个层次库所P_A、P_H、P_U、P_L表示。

2) 依据追溯路径确定FTPN的变迁T和流关系E，并定义网的转换函数F和算法。T表示其前集库所向后集库所发生转化的可能条件的集合，除A层库所外，每个库所仅对应一个变迁且仅与该变迁存在唯一的流关系P×T，该变迁与后集库所的多个流关系T×P由其前后集库所间的追溯路径确定。

3) 实时监测系统不安全状态，以托肯t_S/P_S={P_s，P_s，n，0}赋予相应库所P_s，得到FTPN的初始情态c₁，其中，P_s={P_A，P_H，P_U，P_L}，n={1，2，3，4}。

4) 计算网可达路径上的模糊延迟D。

5) 将FTPN转化为系统状态转化的过程模型。

2.4 系统的实时风险水平测量

系统不安全状态转化过程模型中，系统实时风险水平评估需考虑3个关键参数：系统不安全状态发生前的剩余时间τ、路径完整度n 和状态转化最先发生的可能性Q。其中：

1) 系统不安全状态发生前的剩余时间τ。τ是对RealTSL方法中事故发生前的剩余时间的扩展。τ表示当前系统不安全状态遵循追溯路径抵达未来系统不安全状态的剩余时间。τ越小，系统不安全状态风险越高。

2) 路径完整度n。n表示系统不安全状态转化过程模型中可能发生的不安全状态接近A层库所的程度。其值(n={1，2，3，4})越大，即越接近损失/事故，不安全状态风险越高。

3) 状态转化最先发生的可能性Q。Q表示相同路径完整度的系统不安全状态最先向更高路径完整度系统不安全状态转化的可能性。Q越大，则系统不安全状态的风险越高。

因而系统实时风险可根据该时刻下FTPN完全情态集C={c₁，c₂，c₃，c₄}内的托肯来计算，其中，c₁、c₂、c₃、c₄为网的4种情态。系统风险水平以集合R={(τ_x，Q_x)│x=1，2，…，X}表示，其中，X为完全情态集C下全部托肯的数目，τ_x为完全情态集C内各托肯模糊时间戳解模糊化所得的精确时刻值，表示距离未来可能的系统不安全状态的剩余时间。Q_x为托肯相较于相等路径完整度的其他托肯最先发生的可能性测度值。

为得到FTPN的完全情态集C，需要采用模糊时间戳

π t k / P i

(τ)和模糊延迟d_E_，_v(τ) 2个模糊时间函数对系统状态转化中的时态现象建模，演进FTPN的情态并进行可能性分析。

π t k / P i

(τ)。托肯的模糊时间戳是该托肯抵达P_i时间τ的可能性数值估计，即模糊时间函数。

2) d_E_，_v(τ)。模糊延迟是与流关系E和托肯颜色v相关的模糊时间函数，表示托肯从发生变迁到变迁完成(状态转化完成)的模糊时间延迟。

其中，模糊时间函数是从时间尺度到真实区间[0，1]的函数，表示时间或时间点τ的可能性的程度，并采用梯形或三角形分布，用参数p(a₁，a₂，a₃，a₄)来表示，其中，p为系统状态转化时间的隶属度，其值域为[0，1]。在特定的最不利环境下，[a₂，a₃]表示状态转化确定发生的时间区间，[a₁，a₂]和[a₃，a₄]表示状态转化可能发生的时间区间，[a₁，a₄]之外的区间表示状态转化肯定不发生的时间区间。

模糊时间区间π_a(τ)=p_a(a₁，a₂，a₃，a₄)和π_b(τ)=p_b(b₁，b₂，b₃，b₄)的运算：交集min、并集max、加法$\oplus$见下式。

(1)

π a (τ) ⋂ π b (τ) = m i n {π a (τ) ， π b (τ)}

(2)

π a (τ) ⋃ π b (τ) = m a x {π a (τ) ， π b (τ)}

(3)

π a (τ) ⊕ π b (τ) = m i n {p a ， p b} (a 1 + b 1 ， a 2 + b 2 ， a 3 + b 3 ， a 4 + b 4)

基于上述定义和算法，情态演进依据FTPN的4个层次演进，具体步骤如下：

1) 确定网的初始情态c₁。c₁依靠传感器数据流和系统本身监测得到，c₁中所有输入库所内的托肯t_S/P_S={P_s，P_s，n，

π t S / P S

(τ)}，其中，

π t S / P S

(τ)为输入库所内托肯的模糊时间戳，且

π t S / P S

(τ)=(0，0，0，0)，P_S为输入库所集中的一个库所，n={1，2，3，4}，文中以n=1、P_s=P_L为例。

2) 搜索输入库所与A层库所间的可达路径。

3)计算后集库所内托肯t_k/P_U的模糊时间戳(τ):(τ)=(τ)$\oplus$d_E_，_v(τ)，则t_k/P_U={，P_L，2，(τ)}。其中，Y为以P_L为输入库所的可达路径中U层库所的数目，U层托肯生成完毕后得到网的情态c₂。

4) FTPN中4个层次自下而上类推，直至得到完全情态集C。

得到系统该时刻的完全情态集后，为获取精确的时间信息τ_x，需要对模糊时间戳解模糊化，计算见下式。而某一状态转化最先发生的可能性Q_x采用模糊时间区间不等式^[13]计算。

(4)

τ x = d π (τ) = ∫ τ π (τ) d τ ∫ π (τ) d τ

通过解模糊化和可能性测度，得到系统不安全状态发生时刻的精确值τ_x和转化最先发生的可能性测度Q_x，以集合R={(τ_x，Q_x)│x=1，2，…，X}来表示当前时刻系统的风险水平，并以系统实时损失/事故二维路径图作为可视化界面。

3 实时评估方法的实例应用

收起

3.1 MASS航行场景设定

自主船舶避碰场景及过程如图2所示，图中，沿海自主航行集装箱船S₁，S₁由岸基控制中心(Shore-based Control Centre，SCC)的操作员监督，在紧急情况或执行复杂任务时进行干预。S₁船的自主等级为Lloyd's Register自主等级中的AL4^[14]，即控制人员监督决策执行并有权干预、监督所有决策和行动的自主执行、有权干预高影响力决策。设定的会遇场景和相关船舶基本信息如图2所示。

研究关注M₂(M₂=M₁+415 s)时刻，M₁为当前所处时刻，其中，S₁船为自主集装箱船，S₂船为油轮，S₃船为散货船。M₁时刻，S₂船在S₁船左舷5°，距离约4.1 n mile处，S₁船与S₂船航向相交并构成对遇局面，若2船保向保速，最小会遇距离(Distance Closest Point of Approach，DCPA)约为410m，最短会遇时间(Time Closest Point of Approach，TCPA)约为545s，将构成碰撞危险。且S₁船右舷31°约2.7 n mile处存在浅滩，右舷12°约4.4 n mile处S₃船正以247°航向航行。因此，按照现行《1972年国际海上避碰规则》，S₁船自主避碰系统在M₁时刻提供的避碰路径如图2中粗有向实线所示，S₂船和S₃船的实际避碰路径分别如图2所示有向细实线和虚线所示。

3.2 系统危害识别与分析

S₁船航行中的系统级事故中，仅考虑“A₁:S₁船发生碰撞”和“A₂:S₁船发生搁浅”;且只考虑系统组件间不安全交互和组件故障，而不考虑不充分的控制算法或过程模型和海况/风况。

船舶碰撞经过4个阶段：无碰撞风险(No Collision Risk，NCR)、有碰撞风险(Risk of Collision，CR)、紧迫局面(Close-quarter Situation，CS)和紧迫危险(Immediate Danger，ID)^[15]。4个阶段的界定可作为定义系统级危险及其安全约束的参考，以定义和计算相关模糊时间函数。判断碰撞危险的主要依据是DCPA/TCPA，依据IMO的DCPA和TCPA规定(2船距离非常接近，DCPA≥0.5n mile;当2船航向相交时，TCPA≥6min)。CR和CS的界定为2船能否凭借单船行动在安全距离(1 n mile)上驶过。CS和ID的界定为2船能否凭借单船行动避免碰撞，此距离为0.2n mile。将船舶凭借自身行动已无法避免搁浅定义为搁浅系统级危险之一，此距离为0.2n mile。

第1步：定义分析目的。其输出见表1。

第2步：建立系统安全控制结构。参考目前国内外研究^[4-5]提出的MASS安全控制结构，结合现有实船YARA BIRKELAND和智飞号，提出MASS的安全控制结构如图3所示。

第3步：识别不安全控制行为。研究关注自主避碰/航线跟踪系统根据实时数据更新船舶的避碰路径。因根据实时数据提供避碰路径是离散控制行为，不存在提供避碰路径持续太久或停止过早这类不安全控制行为。识别出的不安全控制行为有4个：①U₁:自主避碰/航线跟踪系统未提供避碰路径更新；②U₂:自主避碰/航线跟踪系统提供了安全的避碰路径更新，但自主船舶没有正确遵循；③U₃:自主避碰/航线跟踪系统提供了不安全的避碰路径更新；④U₄:自主避碰/航线跟踪系统未及时提供避碰路径更新。

第4步：识别损失场景。U₁、U₂、U₃、U₄所识别出的损失场景总计35个。

第5步：构建追溯路径并与FTPN对应。该步骤输出见表2。

3.3 构建FTPN过程模型

STPA输出间的追溯路径描述的是系统不安全状态的转化，并最终导致事故发生的可能场景。基于STPA输出间的追溯路径所构建的FTPN过程模型如图4所示。

3.4 MASS航行实时风险水平测量

M₁时刻，自主避碰/航线跟踪系统处于自主避碰模式，提供了避碰路径更新后切换至航线跟踪模式，M₂时刻S₃船右舵让路，S₁船需更新避碰路径，而自主航行系统未提供避碰路径更新必要的安全水深，即表示FTPN中，损失场景层库所

P L 3

:自主航行系统未提供避碰路径更新必要的控制输入(如CPA和TCPA、安全水深、船舶安全域)。具备托肯t₁/

P L 3

P L 3

，

P L 3

，1，(0，0，0，0)}。

变迁点火代表系统不安全状态的转化，因而变迁表示系统不安全状态转化的可能条件集，T₁—T₇的具体含义见表3。

以时间为关键参数之一的航行场景中，航速是影响时间的主要参数之一，影响航速的因素有通航环境、通航秩序、海洋气象及船舶操纵性能等^[16]。航速的不确定性会导致时间的不确定性。系统不安全状态转化过程中，采用模糊时间函数描述时间的不确定性，a₁和a₄分别表示以可能的最高、最低速度计算获得的时间，a₂=a₃表示考虑可能的航速变化获得的时间。故基于实时数据和建立的数据集，得到相关模糊时间函数d_E_，_v(τ)见表4。M₂时刻，FTPN过程模型如图4所示，其中，粗实线有向弧表示可能导致事故的系统不安全状态转化路径，即可达路径。情态演进和计算后得到M₂时刻FTPN的完全情态集，见表5。

根据完全情态集C={c₁，c₂，c₃，c₄}将R={(τ_x，Q_x)│x=1，2，…，X}依据路径完整度的不同绘制在二维坐标系中，可得到完整的系统实时损失/事故二维路径图(图5)。其中，纵轴为系统不安全状态发生前的剩余时间τ，横轴为托肯的路径完整度n，并且系统状态转化最先发生的可能性以渐变色表示，颜色越深即可能性越高。

在当前时刻和环境下的系统损失/事故二维路径图中，风险最高的系统状态及转化路径被直观表达，同渐变色区域内越靠近左下角的托肯所代表的系统不安全状态风险越高，意味着在同渐变色区域内，所代表的系统不安全状态最可能先发生。S₁船在M₂时刻，各层中风险最高的不安全系统状态分别为L₃、U₁、H₄、A₂，托肯t₂/

P A 2

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(418，477，477，592)}表示在当前时刻和场景下A₂最可能先发生，且转化路径为

P L 3

→

P U 4

→

P H 4

→

P A 2

。基于此，SCC应当优先及时确保安全的航向和航速，并尽早提供安全的避碰路径。值得注意的是，最可能以最短时间导致A₂发生的不安全控制行为为U₄，而不是最可能发生的U₁，即U₄导致事故发生的潜力更大。这表明实时风险评估方法中风险最高的损失/事故路径并不是较短路径时序上的延伸，体现了该方法局部最优不是全局最优的思想，可避免紧迫程度更高的潜在损失/事故路径被忽视。

4 结论

收起

1) 提出的STPA-FTPN方法可构建系统不安全状态转化的过程模型，将时间作为关键参数可衡量复杂系统在特定时刻和环境下的系统风险，是量化STPA定性分析结果的尝试。

2) 提出的系统风险水平表达式和系统实时损失/事故二维路径图可为实时监管系统风险提供依据。安全管理者可参考系统实时风险准确快速做出反应和决策，以避免损失/事故发生。

3) STPA-FTPN方法适用于碰撞、搁浅等具有明显时间序列特性的实时风险评估，对火灾等损失/事故适用性不足，受制于MASS研究和应用现状，尚未开展验证。

基金

收起

水路交通控制全国重点实验室开放课题基金(W24CG000042)

参考文献

收起

文献

收起

参考文献引证文献

排序方式：

[1]

UTNE

I B

, ROKSETH

, SØRENSEN

A J

, et al. Towards supervisory risk control of autonomous ships[J]. Reliability Engineering & System Safety, 2020, 196: DOI: 10.1016/j.ress.2019.106757.

[2]

ZHANG

Yingyu

, DONG

Chuntong

, GUO

Weiqun

, et al. Systems theoretic accident model and process (STAMP): a literature review[J]. Safety Science, 2021: DOI: 10.1016/j.ssci.2021.105596.

[3]

LEVESON

N G

, THOMAS

. STPA handbook[Z]. Massachusetts Institute of Technology, 2018.

[4]

张浦哲, 吴兵, 严新平, 等. 内河船舶远程驾驶控制系统安全分析[J]. 中国安全科学学报, 2022, 32(8):126-132.

ZHANG

Puzhe

, WU

Bing

, YAN

Xinping

, et al. Safety analysis for remote control system of inland ships[J]. China Safety Science Journal, 2022, 32(8):126-132.

[5]

CHAAL

, VALDEZ

BANDA O A

, GLOMSRUD

J A

, et al. A framework to model the STPA hierarchical control structure of an autonomous ship[J]. Safety Science, 2020, 132: DOI: 10.1016/j.ssci.2020.104939.

[6]

CEYLAN

B O

, AKYUZ

, ARSLANOĞLU

. Modified quantitative systems theoretic accident model and processes (STAMP) analysis: a catastrophic ship engine failure case[J]. Ocean Engineering, 2022, 253: DOI: 10.1016/j.oceaneng.2022.111187.

[7]

ZELESKIDIS

, DOKAS

I M

, PAPADOPOULOS

B K

. Knowing the safety level of a system in real-time: an extended mathematical model of the STAMP-based RealTSL methodology[J]. Safety Science, 2022, 152: DOI: 10.1016/j.ssci.2022.105739.

[8]

RASTRABANK

. Risk management guidelines for banks and financial institutions[R]. Bank of Tanzania, 2018.

[9]

席永涛, 张靓, 付姗姗, 等. 基于SFN-SD的北极冰区船舶航行风险传递路径研究[J]. 中国安全科学学报, 2023, 33(4):52-60.

Yongtao

, ZHANG

Liang

, FU

Shanshan

, et al. Research on risk transfer path of ship navigation in Arctic waters based on SFN and SD[J]. China Safety Science Journal, 2023, 33(4):52-60.

[10]

吴哲辉. Petri网导论[M]. 北京: 机械工业出版社, 2006:1-24.

[11]

杜彦华, 范玉顺. 资源约束下多过程的不确定时间建模与分析[J]. 机械工程学报, 2010, 46(4):169-176.

Yanhua

, FAN

Yushun

. Modeling and analyzing of uncertain time for multi-process of workflows with resource constraints[J]. Journal of Mechanical Engineering, 2010, 46(4):169-176.

[12]

MURATA

. Temporal uncertainty and fuzzy-timing high-level Petri nets[C]. International Conference on Application and Theory of Petri Nets, 1996:11-28.

[13]

ZHOU

, MURATA

. Petri net model with fuzzy timing and fuzzy-metric temporal logic[J]. International Journal of Intelligent Systems, 1999, 14(8):719-745.

[14]

周翔宇, 吴兆麟, 王凤武, 等. 自主船舶的定义及其自主水平的界定[J]. 交通运输工程学报, 2019, 19(6):149-162.

ZHOU

Xiangyu

, WU

Zhaolin

, WANG

Fengwu

, et al. Definition of autonomous ship and its autonomy level[J]. Journal of Traffic and Transportation Engineering, 2019, 19(6):149-162.

[15]

ZHU

Qinghua

, XI

Yongtao

, HU

Shenping

, et al. Spatial-temporal analysis method of ship traffic accidents involving data field: an evidence from risk evolution of ship collision[J]. Ocean Engineering, 2023, 276: DOI: 10.1016/j.oceaneng.2023.114191.

[16]

王胜正, 申心泉, 赵建森, 等. 基于ASAE深度学习预测海洋气象对船舶航速的影响[J]. 交通运输工程学报, 2018, 18(2):139-147.

WANG

Shengzheng

, SHEN

Xinquan

, ZHAO

Jiansen

, et al. Prediction of marine meteorological effect on ship speed based on ASAE deep learning[J]. Journal of Traffic and Transportation Engineering, 2018, 18(2):139-147.

2024年第34卷第8期

PDF下载

402

172

引用本文

BibTeX

文章信息

doi: 10.16265/j.cnki.issn1003-3033.2024.08.1290

接收时间：2024-02-22
首发时间：2025-07-09
出版时间：2024-08-28

补充材料

相关文章

文章信息

作者

出版历史

收稿日期：2024-02-22
修回日期：2024-05-25

基金

水路交通控制全国重点实验室开放课题基金(W24CG000042)

作者信息

¹ 上海海事大学商船学院，上海 201306

² 上海海事大学海洋科学与工程学院，上海 201306

³ 上海船舶运输科学研究所有限公司，上海 200135

参考文献

分享链接

https://castjournals.cast.org.cn/joweb/zgaqkxxb/CN/10.16265/j.cnki.issn1003-3033.2024.08.1290

分享至

全文二维码

扫描看全文

引用本文

BibTeX

本文的引用情况

2种不同金属材料的力学参数

科 Family	属数 Number of genus	种数 Number of species	占总种数比例 Percentage of total species (%)	属 Genus	种数 Number of species	占总种数比例 Percentage of total species (%)
鹅膏菌科Amanitaceae	2	11	5.26	鹅膏菌属 Amanita	10	4.78
小菇科 Mycenaceae	2	12	5.74	丝盖伞属 Inocybe	5	2.39
多孔菌科 Polyporaceae	8	14	6.70	蜡蘑属 Laccaria	5	2.39
红菇科 Russulaceae	3	23	11.00	小皮伞属 Marasmius	6	2.87
				小菇属 Mycena	11	5.26
				光柄菇属 Pluteus	5	2.39
				红菇属 Russula	17	8.13
				栓菌属 Trametes	5	2.39

关闭全屏

BibTeX
EndNote
RefWorks
TxT

H	库所	系统级危险	安全约束	追溯路径
H₁	$P H 1$	MASS未与他船保持安全距离	MASS需保证不会导致CS的安全距离	A₁
H₂	$P H 2$	MASS相对他船航向和航速不安全	MASS需确保当前航向/航速不会导致CS	A₁
H₃	$P H 3$	MASS未满足富余水深限制	MASS需确保富余水深满足富余水深限制	A₂
H₄	$P H 4$	MASS相对浅滩的航向/航速不安全	MASS需确保当前航向/航速可凭自身行动避免搁浅	A₂

库所

系统级危险

安全约束

追溯路径

H₁

P H 1

MASS未与他船保持安全距离

MASS需保证不会导致CS的安全距离

A₁

H₂

P H 2

MASS相对他船航向和航速不安全

MASS需确保当前航向/航速不会导致CS

A₁

H₃

P H 3

MASS未满足富余水深限制

MASS需确保富余水深满足富余水深限制

A₂

H₄

P H 4

MASS相对浅滩的航向/航速不安全

MASS需确保当前航向/航速可凭自身行动避免搁浅

A₂

STPA输出	追溯路径
A	A₁\ $P A 1$	A₂\ $P A 2$
H	H₁\ $P H 1$	H₂\ $P H 2$	H₃\ $P H 3$	H₄\ $P H 4$
U	U₁\ $P U 1$ ; U₂\ $P U 2$ ; U₃\ $P U 3$ ; U₄\ $P U 4$
L	U₁\ $P U 1$ ← L₁\ $P L 1$ -L₁₁\ $P L 11$	U₂\ $P U 2$ ← L₁₂\ $P L 12$ -L₁₅\ $P L 15$	U₃\ $P U 3$ ← L₁₆\ $P L 16$ -L₂₄\ $P L 24$	U₄\ $P U 4$ ← L₂₅\ $P L 25$ -L₃₅\ $P L 35$

STPA输出

追溯路径

A₁\

P A 1

A₂\

P A 2

H₁\

P H 1

H₂\

P H 2

H₃\

P H 3

H₄\

P H 4

U₁\

P U 1

; U₂\

P U 2

; U₃\

P U 3

; U₄\

P U 4

U₁\

P U 1

←
L₁\

P L 1

-L₁₁\

P L 11

U₂\

P U 2

←
L₁₂\

P L 12

-L₁₅\

P L 15

U₃\

P U 3

←
L₁₆\

P L 16

-L₂₄\

P L 24

U₄\

P U 4

←
L₂₅\

P L 25

-L₃₅\

P L 35

T	含义
T₁	SCC未得到高风险警报、未提供必要的控制输入等
T₂	自主避碰/航线跟踪系统未提供避碰路径更新
T₃	S₁船已处于紧迫危险阶段或已无法避免搁浅
T₄	S₁船未减速停止、警告他船等
T₅	S₁船未紧急改变航向航速、警告他船等
T₆	S₁船未减速停船、改变船体姿态、减少吃水等
T₇	S₁船未紧急改变航向航速等

含义

T₁

SCC未得到高风险警报、未提供必要的控制输入等

T₂

自主避碰/航线跟踪系统未提供避碰路径更新

T₃

S₁船已处于紧迫危险阶段或已无法避免搁浅

T₄

S₁船未减速停止、警告他船等

T₅

S₁船未紧急改变航向航速、警告他船等

T₆

S₁船未减速停船、改变船体姿态、减少吃水等

T₇

S₁船未紧急改变航向航速等

E	v	d_E_，_v(τ)	E	v	d_E_，_v(τ)
T₁× $P U 1$	$P L 3$	d₁(τ)=(177，190，190，207)	T₁× $P U 4$	$P L 3$	d₁₀(τ)=(390，449，449，564)
T₂× $P H 1$	$P L 3 P U 1$	d₂(τ)=(113，120，120，132)	T₃× $P H 1$	$P L 3 P U 4$	d₁₁(τ)=(0，0，0，0)
T₄× $P A 1$	$P L 3 P U 1 P H 1$	d₃(τ)=(192，213，213，216)	T₄× $P A 1$	$P L 3 P U 4 P H 1$	d₁₂(τ)=∞
T₂× $P H 2$	$P L 3 P U 1$	d₄(τ)=(167，188，188，211)	T₃× $P H 2$	$P L 3 P U 4$	d₁₃(τ)=∞
T₅× $P A 1$	$P L 3 P U 1 P H 2$	d₅(τ)=(139，145，145，157)	T₅× $P A 1$	$P L 3 P U 4 P H 2$	d₁₄(τ)=∞
T₂× $P H 3$	$P L 3 P U 1$	d₆(τ)=(267，278，278，356)	T₃× $P H 3$	$P L 3 P U 4$	d₁₅(τ)=(14，14，14，14)
T₆× $P A 2$	$P L 3 P U 1 P H 3$	d₇(τ)=(28，28，28，28)	T₆× $P A 2$	$P L 3 P U 4 P H 3$	d₁₆(τ)= (14，14，14，14)
T₂× $P H 4$	$P L 3 P U 1$	d₈(τ)=(0，0，0，0)	T₃× $P H 4$	$P L 3 P U 4$	d₁₇(τ)= (0，0，0，0)
T₇× $P A 2$	$P L 3 P U 1 P H 4$	d₉(τ)=(274，306，306，396)	T₇× $P A 2$	$P L 3 P U 4 P H 4$	d₁₈(τ)=(28，28，28，28)

d_E_，_v(τ)

T₁×

P U 1

P L 3

d₁(τ)=(177，190，190，207)

T₁×

P U 4

P L 3

d₁₀(τ)=(390，449，449，564)

T₂×

P H 1

P L 3 P U 1

d₂(τ)=(113，120，120，132)

T₃×

P H 1

P L 3 P U 4

d₁₁(τ)=(0，0，0，0)

T₄×

P A 1

P L 3 P U 1 P H 1

d₃(τ)=(192，213，213，216)

T₄×

P A 1

P L 3 P U 4 P H 1

d₁₂(τ)=∞

T₂×

P H 2

P L 3 P U 1

d₄(τ)=(167，188，188，211)

T₃×

P H 2

P L 3 P U 4

d₁₃(τ)=∞

T₅×

P A 1

P L 3 P U 1 P H 2

d₅(τ)=(139，145，145，157)

T₅×

P A 1

P L 3 P U 4 P H 2

d₁₄(τ)=∞

T₂×

P H 3

P L 3 P U 1

d₆(τ)=(267，278，278，356)

T₃×

P H 3

P L 3 P U 4

d₁₅(τ)=(14，14，14，14)

T₆×

P A 2

P L 3 P U 1 P H 3

d₇(τ)=(28，28，28，28)

T₆×

P A 2

P L 3 P U 4 P H 3

d₁₆(τ)= (14，14，14，14)

T₂×

P H 4

P L 3 P U 1

d₈(τ)=(0，0，0，0)

T₃×

P H 4

P L 3 P U 4

d₁₇(τ)= (0，0，0，0)

T₇×

P A 2

P L 3 P U 1 P H 4

d₉(τ)=(274，306，306，396)

T₇×

P A 2

P L 3 P U 4 P H 4

d₁₈(τ)=(28，28，28，28)

情态	层	库所	托肯	托肯颜色	(τ_x，Q_x)
c₁	L层	$P L 3$	t₁/ $P L 3$	{ $P L 3$ ， $P L 3$ ，1，(0，0，0，0)}	(0，1)
c₂	U层	$P U 1$	t₁/ $P U 1$	{ $P U 1$ ， $P L 3 P U 1$ ，2，(177，190，190，207)}	(191，1)
$P U 4$	t₁/ $P U 4$	{ $P U 4$ ， $P L 3 P U 4$ >，2，(390，449，449，564)}	(468，0)
c₃	H层	$P H 1$	t₁/ $P H 1$	{ $P H 1$ ， $P L 3 P U 1 P H 1$ ，3，(290，310，310，339)}	(313，0)
t₂/ $P H 1$	{ $P H 1$ ， $P L 3 P U 4 P H 1$ ，3，(390，449，449，564)}	(468，0)
$P H 2$	t₁/ $P H 2$	{ $P H 2$ ， $P L 3 P U 1 P H 2$ ，3，(344，378，378，418)}	(380，0)
t₂/ $P H 2$	{ $P H 2$ ， $P L 3 P U 4 P H 2$ ，3，∞}	(∞，0)
$P H 3$	t₁/ $P H 3$	{ $P H 3$ ， $P L 3 P U 1 P H 3$ ，3，(444，468，468，563)}	(492，0)
t₂/ $P H 3$	{ $P H 3$ ， $P L 3 P U 4 P H 3$ ，3，(404，463，463，578)}	(482，0)
$P H 4$	t₁/ $P H 4$	{ $P H 4$ ， $P L 3 P U 1 P H 4$ ，3，(177，190，190，207)}	(191，1)
t₂/ $P H 4$	{ $P H 4$ ， $P L 3 P U 4 P H 4$ ，3，(390，449，449，564)}	(468，0)
c₄	A层	$P A 1$	t₁/ $P A 1$	{ $P A 1$ ， $P L 3 P U 1 P H 2 P A 1$ ，4，(482，523，523，555)}	(520，0.348)
t₂/ $P A 1$	{ $P A 1$ ， $P L 3 P U 1$ P_H2 $P A 1$ ，4，∞}	(∞，0)
t₃/ $P A 1$	{ $P A 1$ ， $P L 3 P U 4 P H 2 P A 1$ ，4，(483，523，523，575)}	(527，0.445)
t₄/ $P A 1$	{ $P A 1$ ， $P L 3 P U 4$ P_H2 $P A 1$ ，4，∞}	(∞，0)
$P A 2$	t₁/ $P A 2$	{ $P A 2$ ， $P L 3 P U 1 P H 3 P A 2$ ，4，(472，496，496，591)}	(520，0.566)
t₂/ $P A 2$	{ $P A 2$ ， $P L 3 P U 1 P H 3 P A 2$ ，4，(418，477，477，592)}	(496，0.828)
t₃/ $P A 2$	{ $P A 2$ ， $P L 3 P U 4 P H 4 P A 2$ ，4，(451，496，496，603)}	(517，0.779)
t₄/ $P A 2$	{ $P A 2$ ， $P L 3 P U 4 P H 4 P A 2$ ，4，(418，477，477，592)}	(496，0.828)

情态

层

库所

托肯

托肯颜色

(τ_x，Q_x)

c₁

L层

P L 3

t₁/

P L 3

{

P L 3

，

P L 3

，1，(0，0，0，0)}

(0，1)

c₂

U层

P U 1

t₁/

P U 1

{

P U 1

，

P L 3 P U 1

，2，(177，190，190，207)}

(191，1)

P U 4

t₁/

P U 4

{

P U 4

，

P L 3 P U 4

>，2，(390，449，449，564)}

(468，0)

c₃

H层

P H 1

t₁/

P H 1

{

P H 1

，

P L 3 P U 1 P H 1

，3，(290，310，310，339)}

(313，0)

t₂/

P H 1

{

P H 1

，

P L 3 P U 4 P H 1

，3，(390，449，449，564)}

(468，0)

P H 2

t₁/

P H 2

{

P H 2

，

P L 3 P U 1 P H 2

，3，(344，378，378，418)}

(380，0)

t₂/

P H 2

{

P H 2

，

P L 3 P U 4 P H 2

，3，∞}

(∞，0)

P H 3

t₁/

P H 3

{

P H 3

，

P L 3 P U 1 P H 3

，3，(444，468，468，563)}

(492，0)

t₂/

P H 3

{

P H 3

，

P L 3 P U 4 P H 3

，3，(404，463，463，578)}

(482，0)

P H 4

t₁/

P H 4

{

P H 4

，

P L 3 P U 1 P H 4

，3，(177，190，190，207)}

(191，1)

t₂/

P H 4

{

P H 4

，

P L 3 P U 4 P H 4

，3，(390，449，449，564)}

(468，0)

c₄

A层

P A 1

t₁/

P A 1

{

P A 1

，

P L 3 P U 1 P H 2 P A 1

，4，(482，523，523，555)}

(520，0.348)

t₂/

P A 1

{

P A 1

，

P L 3 P U 1

P_H2

P A 1

，4，∞}

(∞，0)

t₃/

P A 1

{

P A 1

，

P L 3 P U 4 P H 2 P A 1

，4，(483，523，523，575)}

(527，0.445)

t₄/

P A 1

{

P A 1

，

P L 3 P U 4

P_H2

P A 1

，4，∞}

(∞，0)

P A 2

t₁/

P A 2

{

P A 2

，

P L 3 P U 1 P H 3 P A 2

，4，(472，496，496，591)}

(520，0.566)

t₂/

P A 2

{

P A 2

，

P L 3 P U 1 P H 3 P A 2

，4，(418，477，477，592)}

(496，0.828)

t₃/

P A 2

{

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(451，496，496，603)}

(517，0.779)

t₄/

P A 2

{

P A 2

，

P L 3 P U 4 P H 4 P A 2

，4，(418，477，477，592)}

(496，0.828)