《Journal of Marine Science and Engineering》：Structuring STPA Loss Scenarios for Safety Assessment: A Delphi-Based Framework for Degraded MASS Operations
编辑推荐：
海上自主水面船舶（MASS）需要将基于系统理论的危险转化为结构化且可追溯的输入，以用于后续基于情景的安全评估，尤其是在退化运行条件下。本研究将先前通过系统理论过程分析（STPA）推导出的92个损失情景（LSs）结构化为一个代表性情景框架，同时保持对源危险分析的
海上自主水面船舶（MASS）需要将基于系统理论的危险转化为结构化且可追溯的输入，以用于后续基于情景的安全评估，尤其是在退化运行条件下。本研究将先前通过系统理论过程分析（STPA）推导出的92个损失情景（LSs）结构化为一个代表性情景框架，同时保持对源危险分析的可追溯性。研究采用三轮德尔菲法，由10名领域专家参与，对LSs进行分组、细化重叠类别并评估最终框架。第一轮产生13个临时类别，第二轮合并为10个代表性情景域（RSDs）。每个LS被分配至一个主要RSD作为可追溯性锚点，而非单一因果性的主张；跨域交互则通过一个独立的并发退化构建层来表示。在第三轮中，所有RSD在名称适切性、定义清晰度和情景匹配度方面均达到至少4的中位数评分，同意比例为0.80至1.00；框架层面的一致性介于0.80至0.90之间。该框架在STPA衍生的损失情景与后续安全评估情景规范之间提供了一个结构化的中间层。研究结果支持基于专家内容的验证，而非经验性的模拟器有效性；因此，独立可重复性评估和基于模拟器的验证仍是必要的后续步骤。
论文解读
一、研究背景与问题
海事行业的数字化转型和自主导航技术的进步，已使海上自主水面船舶（MASS）从技术开发和演示阶段迈向实际运营和监管实施阶段。这一转变不仅涉及船舶功能的自动化，更改变了导航、操纵、态势感知、决策、系统监控和通信等关键运行功能在自主系统、船上人员与岸基远程操作中心（ROC）之间的分配方式。国际海事组织（IMO）于2026年5月通过了非强制性的《海上自主水面船舶安全国际规则》（MASS Code），自2026年7月1日起适用，该规则采用基于目标（goal-based）的框架，将风险评估、运行情境、运行模式、连通性、远程操作和人为因素作为安全设计的关键要素。
由于MASS作为社会技术控制系统运行，其安全性不能仅通过孤立的设备故障或人为失误来评估。技术、人为、环境和组织因素在感知、自主决策、推进、通信和远程操作之间相互作用。系统理论过程分析（STPA）因其考察不安全控制与交互机制而非仅关注部件失效而具有特殊相关性。然而，近期对海事领域系统理论安全分析应用的综述发现，所得损失情景在后续结构化和验证方式上存在不一致性。
现有研究虽已尝试将危险分析与运行条件和验证活动联系起来，包括多MASS功能的正式安全评估、STPA与故障树分析（FTA）的集成、STPA损失情景与运行设计域（ODD）的关联，以及基于代表性运行条件的情景验证，但均未解决一个具体的下游问题：如何将大量STPA衍生的损失情景系统化地组织为数量较少但可追溯的情景域，同时不丢失源STPA中嵌入的因果区分。
Park和Kim先前对涉及MASS、ROC和远程操作员（RO）的控制结构应用了STPA，识别出31个不安全控制行为（UCAs）和92个相关损失情景（LSs），涵盖了导航、推进、感知、通信和网络安全方面的技术退化，以及信息不对称、态势感知降低、控制延迟和人机协调失败。Park等人随后使用严重度、可能性和可检测性对相同92个LSs进行了评估以建立相对风险优先级。然而，这两项研究均未解决如何将完整LS集合重新组织为可追溯的中间表征以构建后续安全评估情景的问题。
风险优先级排序与情景结构化服务于不同目的。仅选择排名最高的LSs可能支持基于风险的优先级排序，但不能提供源数据集中因果机制的结构化覆盖。相反，将所有92个LSs视为独立的模拟器测试案例，则不必要地将危险分析输出等同于可执行评估情景。因此，需要一种中间表征，既能保留与原始UCAs和LSs的关联，又能在适合后续情景规范的层面上对相关退化和控制机制进行分组。
二、研究设计与方法
本研究旨在将先前识别的STPA损失情景结构化为代表性情景框架，用于后续MASS安全评估。研究未开展新的STPA分析，而是以Park和Kim报告的退化MASS运行STPA结果作为源数据，将92个LSs作为分析单位。研究采用四阶段流程：独立分组、德尔菲法审查与细化、内容适切性评估、可追溯性检查与并发退化构建层开发。
研究采用三轮德尔菲法，专家小组由10名参与者组成，均完成了全部三轮。小组成员与源STPA研究的参与者相同，这种连续性是有意设计的，因为每个LS的含义嵌入其原始控制结构、父UCA和退化运行假设中。第一轮中，每位专家独立审查92个LSs的主要成因和控制机制，并对概念相似的LSs进行分组。第二轮中，专家审查类别名称、操作定义、概念重叠以及LSs与临时类别之间的匹配度，进行五点量表定量评分和定性建议。第三轮中，对最终10个RSDs的内容适切性进行评价，包括名称适切性、定义清晰度和情景匹配度，并对整体框架和并发退化构建方法进行独立评估。
分类遵循明确的决策序列：因果锚点识别、主要判据确定（主导退化或控制机制）、LS级检查、次级判别因素（运行情境、主要RO或控制任务、干预需求）以及未决案例的专家裁决。每个LS分配至一个主要RSD作为组织索引规则，而非因果排他性主张。并发退化层作为独立的情景构建层，组合两个或多个基础RSDs以构建复合评估条件。
三、研究结果
3.1 第一轮：STPA损失情景的初始分组
第一轮中，专家独立将92个LSs分组，个人生成的类别数量介于11至15个之间，中位数为13。被认定为不清晰的LSs中位数为7.5，可能重叠的中位数为4.5，需要措辞修订的中位数为8.5。经综合后，研究团队建立了13个临时类别（PC1–PC13）。专家分组一致性介于0.70至0.90之间，导航指挥与航线执行失效、推进系统退化、传感器与数据完整性失效、货物与稳性状态失效的一致性最高（0.90），而通信信息与协调失效、速度与操纵控制失效、感知与态势解读失效、人为协调与控制权失效、延迟远程操作员干预的一致性较低（0.70）。
3.2 第二轮：合并为代表性情景域（RSDs）
第二轮中，13个临时类别均获得4或5的中位数评分，一致性介于0.70至0.90。基于定性建议，三对临时类别因代表共同高层控制路径中紧密相连的阶段或表现而被合并：通信链路退化与丢失（PC2）和通信信息与协调失效（PC3）合并为通信退化与丢失；推进系统退化（PC4）和速度与操纵控制失效（PC5）合并为推进与操纵退化；传感器与数据完整性失效（PC7）和感知与态势解读失效（PC8）合并为传感器与感知完整性失效。人为协调与控制权失效更名为人为协调与控制失效，延迟远程操作员干预作为独立域保留。13个临时类别最终合并为10个RSDs（RSD1–RSD10）。
在LS层面，92个LSs中68个（73.9%）无需修改保留，14个（15.2%）进行轻微措辞修订，4个（4.3%；LS-20、LS-21、LS-40和LS-41）进行实质性修订，4个（4.3%）被重新分配类别，2个（2.2%）被合并或重组。RSD3包含最多的源情景（18个LSs），RSD1和RSD9各含11个，RSD10最小（3个）。所有源自同一父UCA的LSs被分配至同一RSD，32个源自11个UCAs的LSs被分配至与其原始STPA控制动作组不对应的RSD，表明分配遵循主导机制而非源标签。
3.3 第三轮：最终情景框架的专家内容验证
第三轮中，所有10个RSDs在名称适切性、定义清晰度和情景匹配度方面均获得至少4的中位数评分，同意比例为0.80至1.00。RSD1、RSD3和RSD5在全部三项标准中均获得5的中位数评分。RSD6（货物与稳性状态失效）的总体一致性最高（1.00）。框架层面，全面性、代表性、实践相关性和总体适切性均获得5的中位数评分和0.90的一致性；类别边界清晰度和模拟器验证适用性获得4的中位数评分和0.80的一致性，均达到预设的0.80阈值。
3.4 并发退化情景构建
并发退化被定义为涵盖同时发生和因果或运行关联的序列退化的总括概念，作为独立的情景构建层而非第11个RSD。研究制定了明确的构建规则：合格交互要求至少一个可陈述的交互基础（因果依赖、共享控制或反馈路径、环境放大、模式或控制权转换、依赖人为干预）；无直接因果依赖的组合仅通过其他基础合格；时间结构需明确顺序或同时性；排除无交互基础、前提系统状态不兼容或全部组成属于同一RSD的组合。专家对并发退化概念的必要性、代表性、安全验证适切性均给予5的中位数评分和0.90的一致性，运行现实性和模拟器实施适切性为4和0.80。研究展示了五个示例性复合情景和一个从单一退化案例到复合评估情景规范的工作示例。
四、讨论与结论
讨论部分总结： 本研究的主要贡献不在于减少或基于风险重排92个LSs，而在于将其结构化为10个RSDs用于后续安全评估，同时保持因果可追溯性。该框架填补了完整STPA LS集合与评估情景规范之间缺乏显式规则化步骤的空白。RSDs并非全部处于相同的抽象层级：RSD1–RSD8主要代表系统或运行退化机制，而RSD9和RSD10代表人为—自动化协调和干预时机，反映了源STPA的社会技术特性。退化状态不应被视为正常与设备故障之间的二元条件，而应视为多功能和控制系统关系可能发生变化的中间运行状态。并发退化层通过显式规则组合现有RSDs，允许表示交互退化而不破坏主要可追溯性。人为干预作为安全关键控制要素而非辅助支持功能，延迟RO干预不应同时作为实验条件和测量结果。研究局限包括：框架仅基于单一STPA研究的92个LSs；德尔菲小组参与过源STPA可能引入确认偏差；未进行独立编码或评分者间信度分析；五个复合情景仅为示例而非优先级排序；未实施模拟器验证。
结论翻译： 本研究开发了92个STPA衍生的退化MASS运行损失情景的结构化可追溯表征。通过三轮德尔菲法，13个临时类别被细化为10个代表性情景域（RSDs）。每个源LS被分配至一个主要RSD作为组织可追溯性锚点，同时引入独立的并发退化层以表示技术、环境和人为控制机制之间的同时或序列交互。第三轮结果显示最终框架获得一致的积极专家评价。所有10个RSD在名称适切性、定义清晰度和情景匹配度方面均获得至少4的中位数评分，同意比例为0.80–1.00；框架层面一致性介于0.80至0.90之间。本研究的主要贡献不是将92个潜在评估案例减少为10个可执行测试，也不是识别或重新排序MASS危险，而是提供了一个中间情景结构化层，在保留STPA因果可追溯性的同时，支持后续退化条件、运行情境、系统响应、人为干预需求和可测量安全变量的规范。并发退化层进一步允许在不改变主要LS到RSD映射的情况下构建交互机制。该框架仍受限于源STPA控制架构和开发所用的92个LSs。未来工作应使用独立专家小组或独立编码检验可重复性，评估对不同MASS控制架构和运行概念的迁移性，并在模拟器实验中实施基于RSD的情景，通过情景条件—系统响应—安全指标—验收标准链建立参数和数值验收标准，包括单一与复合退化案例的比较评估。
