一种用于评估船舶机械系统（MASS）可靠性的随机方法以及检验其是否符合国际海事组织（IMO）监管框架的方法 皮埃特罗·科西（Pietro Corsi）、 谢尔盖·雅科夫列夫（Sergej Jakovlev）、 马西莫·菲加里（Massimo Figari）和 瓦西里·杰科夫（Vasilij Djackov）

《Journal of Marine Science and Engineering》：A Stochastic Approach for Evaluating the Reliability of a MASS and Assessing the Compliance with the IMO Regulatory Framework Pietro Corsi, Sergej Jakovlev, Massimo Figari and Vasilij Djackov

　　摘要：海上自主水面船（MASSs）的引入需要可靠的工程方法来证明其安全水平与传统有人驾驶船舶相当。本文提出了一种基于任务的随机可靠性框架，用于比较评估有人驾驶和无人驾驶船舶配置，重点关注工程设计和验证。该方法基于可靠性块图（RBDs），将船舶任务分解为关键的功能子系统，并在任务限制的操作剖面中进行评估。为了解决自主系统组件故障数据中的不确定性，平均故障时间（MTTF）值被视为随机变量而不是固定参数。采用蒙特卡洛模拟方法将不确定性从组件层面传播到整体任务可靠性，生成任务成功的概率分布。所提出的框架应用于搜索和救援巡逻船，在相同的任务场景和持续时间下比较有人驾驶和无人驾驶配置。结果表明，在中等不确定性水平下，无人驾驶配置实现了相同或更高的任务可靠性，而增加的不确定性则减少了两种解决方案之间的统计差异。该方法为支持自主海洋系统的可靠性驱动设计决策提供了实用且可复制的工具。

1. 引言
开发海上自主水面船（MASSs）的两个主要动机是提高安全性并降低与船舶操作相关的环境风险。“自主性”被认为更安全的原因是它应该大幅减少与车辆导航相关的错误；没有人在指挥的情况下，预计可以降低与最常见的危险相关的风险，例如船员疲劳、分心和信息过载[1]。然而，设计过程中仍然存在人为错误的可能性，即“设计错误”。此外，对信息系统的依赖增加，以及不同控制系统和/或操作员之间可能共享驾驶台，带来了与信息潜在丢失相关的新危险，并导致了新的“人为错误”类型[2,3]。
另一方面，为了使自主性真正安全，船舶的技术系统必须表现出非常高的可靠性，因为船上没有人可以进行维修。根据国际海事组织（IMO）的规定，MASS可以在无需人工干预的情况下独立运行，并且必须具有与传统船舶相同的安全水平。尽管定义简单，但MASS的部署面临多个挑战，涉及技术、监管和基础设施领域[4]，主要是因为安全保障尚未完全建立。
文献中提出了几种方法[5]，业界通常采用船级社的安全保障方案[6,7]。此外，行政机构在确保适用监管框架内的创新方面发挥着战略作用[8,9]。大多数安全保障方法基于风险分析原则，通过接受矩阵计算不希望发生的事件的概率和后果，并与之进行比较。这种方法的主要缺点是概率和后果通常是定性地评估的，这使得在未来参考时难以准确追踪程序。
本文提出的方法基于任务可靠性概念：如果实现的任务可靠性至少等于或高于当前技术，则认为新技术是可接受的。该方法旨在评估有船员和无船员情况下船舶任务的成功概率，适用于设计船舶的所有类型任务。这是一种以设计为中心的方法，用于认证目的。可靠性建模提供了一种结构化的方式来量化故障风险和系统行为，这对于证明符合IMO MASS规范和MASS IACS级规则至关重要。这些框架采用基于目标的方法，要求自主船舶证明其安全水平与传统船舶相当或更高。就最先进的任务可靠性分析而言，所提出的方法通过使用每个组件的随机平均故障时间（MTTF）（用正态分布建模）来处理可靠性模型中固有的不确定性。
这种方法的结果包括无人驾驶和有人驾驶设计的任务成功概率分布，其中超越概率被用作风险关键绩效指标（KPI）。
本研究的新颖之处在于将随机RBD–蒙特卡洛可靠性框架应用于海上自主水面船（MASS），明确解决了故障数据中的不确定性问题，并实现了有人驾驶和自主船舶配置之间的定量、基于任务的比较。
本文的其余部分结构如下：第2节讨论文献综述，第3节介绍随机可靠性方法，第4节通过一个案例研究展示了在相同操作剖面下有人驾驶和无人驾驶船舶配置的结构性比较，第5节详细介绍了模拟结果，最后是结论。

2. 文献综述
海上自主水面船（MASSs）的发展代表了全球海运行业的转型步骤，提供了更高的运营安全性、减少了对劳动力的依赖以及物流链的更高效率。这一演变是由人工智能、传感器融合和控制系统的进步推动的，当这些技术与高可用性硬件架构集成时，支持了海上自主行为的实现[1]。

2.1. MASS的监管框架
适用于MASS的监管框架在国际层面并不统一。许多国家已经发布了关于自主船舶操作的指南或指令；国际海事组织（IMO）计划在2025年发布非强制性的IMO MASS规范[10,11]。该规范定义了四种自主程度，从配备自动化系统的传统有人驾驶船舶（第1级）到能够独立决策和控制的完全自主船舶（第4级）。这些级别为分类和认证框架提供了功能基础[12,13,14]。
尽管在概念和技术上取得了进展，现有的监管结构仍在发展中。目前非强制性的IMO MASS规范主要针对货船，预计到2032年将变为强制性规范，尽管尚未涉及军用和客运应用。虽然MASS在测试环境和早期部署中展示了有希望的能力[15,16]，但广泛采用需要一个统一的全球认证框架，该框架应解决技术创新和实际监管问题，特别是在远程操作中的导航能力、碰撞避免策略、通信和网络安全、自动化和机械控制系统以及所有这些点的最终测试和验证方面[17,18,19,20,21,22,23,24]。
MASS的发展还受到各种国家项目和欧盟倡议的影响。例如Yara Birkeland[15]、Mayflower[4]和ReVolt，每个项目都展示了不同的自主程度、能源效率和实际测试成功。欧盟通过MUNIN、AUTOSHIP和MOSES等项目积极支持MASS的技术创新和监管协调[9,25,26,27,28,29,30,31,32]。
然而，一个关键挑战在于协调各船旗国的分散法规，特别是在需要国际导航时。虽然IMO提倡统一的国际框架，但挪威、日本和英国等国家已经开发了本地化的审批机制，从基于目标的操作规范到定制的认证系统[33,34,35,36,37,38]。大多数IACS船级社已经提前发布了针对MASS的指南（例如RINA GUI 35）[7]，通常强调基于风险和模块化的方法。这些法规的共同目标是证明无人驾驶船舶至少与其有人驾驶的对应物一样安全。因此，定义一种可以无限次复制的科学方法来评估MASS的可靠性非常重要，以便用于降低特定MASS操作配置相关的风险，并为评估有人驾驶和无人驾驶船舶配置之间的可靠性提供技术响应。
适用于MASS的监管框架是[39]的基础，其中概述了促进MASS认证和操作的结构化路径，涵盖了技术、运营和安全方面的考虑（图1）。
图1. 如[40]中所示的MASS船旗国授权路径。
以下段落分析了应用于海洋系统和自主船舶的可靠性和可用性模型的最新进展。

2.2. MASS系统中的可靠性和可用性
随着自动化水平的提高、数字化以及自主船舶的引入，可靠性评估已成为海洋工程的核心支柱。历史上，海洋和 offshore 部门的系统可靠性主要通过确定性的、基于故障率的方法进行管理，这些方法用于系统设计和预防性维护政策制定。这些传统框架——通常源自航空和国防领域，例如美国海军在20世纪70年代开发的以可靠性为中心的维护（RCM）[40]——为管理故障风险提供了结构化指导，但在捕捉现代船舶系统的多维、随机和运营复杂性方面被证明不足[41]。
随着自主功能的日益集成、高速数据采集和监管压力的增加，需要发展出能够支持在不确定性下进行主动和基于条件的决策的自适应、智能可靠性框架。
无论如何，这些传统的可靠性评估方法可以很好地应用于分析不同的系统解决方案，并将传统船舶与自主船舶进行比较。
在传统船舶系统中，特别是那些没有自动化的船舶系统中，设备退化通常由机械磨损、材料疲劳、环境暴露和维护延迟共同驱动。Ait Allal等人[42,43]的研究表明，如海水中央冷却系统和主引擎润滑油系统等关键系统会因腐蚀、泵故障和监测不足而发生故障，往往导致昂贵的引擎故障和运营停机。使用故障树分析（FTA）和故障模式与效应分析（FMEA）等经典方法，这些研究识别了系统漏洞，并提出了对无人驾驶船舶操作至关重要的设计改进和冗余策略。
Edge等人[44]和Abaei等人[45]进一步发展了这一观点，考虑了自主和可选有人驾驶平台的要求。特别是“Tx Ship”概念和无人值守机械厂（UMPs）的机械可靠性框架强调了未来船舶架构必须优先考虑可用性和容错能力，而不是成本或燃油效率。Abaei等人提出了一个多项式过程树（MPT）模型，结合贝叶斯推断来预测无人干预下的关键系统行为，强调必须持续监控主引擎和变速箱等系统的退化情况，使用实时诊断和预测工具支持远程决策。
这些发展与系统可靠性工程的趋势一致，该趋势整合了概率和基于AI的模型，以提高预测能力和响应性[46,47,48]。正如Daya和Lazakis在《开发先进的可靠性分析框架》第2章中详细说明的那样，正在发生一个重大的范式转变：可靠性建模现在通常依赖于结合动态故障树分析（DFTA）、贝叶斯信念网络（BBNs）和FMECA的混合架构，以提供全面的维护支持。DFTA通过引入序列和时间依赖的故障逻辑扩展了经典的FTA，能够准确表示条件依赖性和可修复组件的行为[50,51]。这些动态门在模拟备用系统或典型的海洋引擎室的延迟故障时特别有用。
同时，FMECA提供了将人类专业知识和运营约束整合到可靠性评估中所需的主观基础。这在数据可用性有限或故障受操作员能力、设计限制和维护文化等上下文因素影响时尤为重要[52]。FMECA允许根据严重性、可能性和关键性元素对组件进行优先级排序，进一步使用结构化风险矩阵或加权评估机制进行细化。
在Daya和Lazakis[53]的工作中，这种混合框架被应用于一艘海上巡逻船（OPV），并且大多数机械系统都进行了建模；通过机器学习算法，该模型推荐了实时维护策略——根据操作状态和组件行为在计划维护系统（PMS）、条件监控（ConMon）或纠正措施之间进行切换。
向智能可靠性框架的转变也与行业努力数字化运营和满足监管要求（如ISM规范[54]和ISO 19847/19845定义的数据标准[55,56]）保持一致。实时数据采集来自船上安装的传感器，结合高吞吐量分析，可以处理非线性、高维数据，以在异常情况（如过热、压力下降或声学异常）发展成故障之前检测到它们。除了技术组件的可靠性之外，最近的文献还强调了人在自主和半自主操作中的人为可靠性分析（HRA）日益增长的重要性。传统的人为可靠性分析模型起源于核能和航空航天领域，需要进行重大调整才能适用于海洋环境，在这种环境中，人为错误通过远程接口和控制中心进行过滤。这些方法对于建模潜在问题（即系统内部的隐藏问题）、程序性故障和可能影响自动化或半自主海洋操作成功的监督挑战非常有价值。Pereira de Abreu等人[57]指出了在Massive Autonomous Surface Ships（MASS）远程监控的情况下进行人为可靠性分析的必要性。正如Pereira de Abreu等人[57]所讨论的，即使在人员最少的系统中，人类角色仍然通过远程监控、决策以及对警报或自动诊断的响应而存在。传统的人为可靠性分析方法——如人为错误评估与减少技术（HEART）和标准化工厂分析风险人为可靠性分析（SPAR-H）——应该应用于远程控制架构、人机界面以及在复杂监督条件下的认知超负荷情况。这些方法对于识别潜在的系统条件、程序偏差和监督故障至关重要，而这些可能是技术可靠性模型单独无法捕捉到的，但它们对系统安全和任务成功有着深远的影响。Lee, S. M等人[58]提出了一种针对MASS的本地路径规划算法，该算法整合了模糊推理系统、船舶领域概念和速度障碍方法，以符合COLREGs规则进行实时碰撞避免。该研究强调了建模遭遇情况和决策过程的重要性，以确保在动态操作条件下的安全航行[58,59,60]。同一位作者还开发了一个基于COLREGs合规规则的碰撞风险推理系统，采用了自适应神经模糊方法，结合了多个导航参数，如CPA（碰撞概率）、船舶领域和遭遇动态。所提出的框架通过明确建模决策过程和监管约束，能够更全面地评估碰撞风险[61]。

2.3 随机可靠性建模
确定性模型，如RBD（可靠性块图）、FTA（故障树分析）、FMEA（故障模式与效应分析）和FMECA（故障模式、效应及因果分析），长期以来一直是海洋工程中识别潜在故障路径的标准方法。在MASS应用中，这些模型对于早期设计阶段分析以及满足IMO MASS Code或IACS船级社要求（如RINA GUI 35 [7]或CCS “i-Ship”框架[6]）至关重要。然而，它们的适用性受到简化假设的限制，最显著的是假设组件之间的随机独立性以及使用恒定的、确定性的故障率。随着系统复杂性的增加，特别是在高度自动化和自主的架构中，动态和依赖行为变得不可忽视。组件可能通过负载共享机制、备用冗余、按需激活、故障传播或共同原因故障相互作用，而系统配置可能会因维护政策或分阶段任务特性而变化。在这些条件下，传统的静态RBD和FTA可能导致过于简化或乐观的可靠性估计。为了克服这些限制，Distefano和Puliafito提出了动态可靠性块图（Dynamic Reliability Block Diagrams），作为传统RBD的扩展，能够模拟由维修、维护和任务阶段效应驱动的依赖性和时变故障行为及配置变化[58]。他们的研究表明，每当系统元素之间的独立性假设被违反时，就需要使用动态可靠性形式主义。

与此同时，基于状态和概率的方法越来越多地被采用来应对不确定性和数据稀缺问题，这在自主船舶应用中尤为关键。Abaei等人提出了一种基于多项过程树（Multinomial Process Tree）与分层贝叶斯推理（Hierarchical Bayesian Inference）相结合的无人值守机械工厂可靠性评估框架，专门设计用于应对自主船舶操作中有限的历史数据和不确定的破坏性事件[61]。他们的结果强调，故障行为的不确定性和缺乏船上人为干预显著影响系统可靠性，必须在定量模型中明确表示。最近在可靠性工程中的研究进一步强调了考虑多源不确定性和性能退化的重要性。可靠性退化模型表明，制造公差、材料属性、环境条件和操作应力的变化可以显著影响系统级别的可靠性结果，即使名义设计参数保持不变[39,62,63]。这些发现加强了将故障参数视为随机量，并将不确定性从组件级别传播到系统级别的必要性，而不是依赖单点估计。基于仿真的随机框架，包括蒙特卡洛技术（Monte Carlo techniques），在分析可行性和建模保真度之间提供了实用的折中方案[58,64,65]。这些方法允许分析师放宽对故障率确定性的严格假设，纳入异构概率分布，并评估任务成功对可靠性数据不确定性的敏感性[61]。随机规划公式表明，对于复杂的系统拓扑结构和任意故障分布，可靠性可以被量化，此时不再有封闭形式的分析解[59]。在此背景下，本工作中采用的随机可靠性方法旨在保持RBD建模的透明度和设计导向结构，同时明确处理输入故障数据中的不确定性。通过将组件的平均故障时间（MTTF）值视为随机变量，并通过蒙特卡洛模拟传播其变异性，所提出的方法能够在相同任务配置下对有人驾驶和无人驾驶船舶进行概率比较。这种方法与IMO MASS Code所基于的目标导向安全哲学一致，允许通过任务成功概率而非确定性或纯粹定性的风险指标来证明合规性。

从认证的角度来看，（图1）最近的研究强调，海洋自主水面船舶的批准越来越依赖于基于风险和目标的方法，其中合规性通过可靠性、可用性和容错性的定量证据来证明，而不是通过规定的设计解决方案[40]。这突显了能够处理不确定性和有限操作经验时概率可靠性模型的重要性，以证明有人驾驶和无人驾驶船舶配置之间的安全性等效性。

3. 材料与方法
本节介绍了用于分析的计算方法和所考虑的数据。船舶任务被层次化分解为多个关键功能/子系统——导航控制、态势感知、推进、操纵、稳定性（图1）。每个功能/子系统进一步划分为子模块，直到最后一个单独的组件/单元。子系统本身的可靠性以及整个任务的可靠性是使用可靠性块图（Reliability Block Diagrams，RBDs）计算的，假设故障分布为指数分布，其中第i个元素的可靠性（R）和平均故障时间（MTTF）表示为……其中是组件的恒定故障率，（t）是任务时间。MTTF定义为故障时间的期望值，对于指数分布，其公式为……这种公式使得在可靠性块图（RBD）框架内可以直接将故障率数据与可靠性评估联系起来。然后使用串联和并联配置根据标准RBD规则计算子系统和系统级别的可靠性，假设组件故障之间的统计独立性。分析假设组件故障之间的独立性，并且仅限于基于任务的时间范围，而不是船舶的整个生命周期。分析需要一个场景定义，即任务类型和任务持续时间，用于计算RBD模型。输入数据MTTFi是一个主要挑战；考虑了多个来源，包括OREDA数据库（海上和陆上可靠性数据）[66,67]、其他可靠性数据库、船级社文档和制造商手册。模型中实现的MTTF在附录C中报告。为了描述RBD中船员元素的“MTTF”，采用了另一种方法。欧洲海事安全局（EMSA）发布了欧盟水域内年度海洋伤亡和事故的概览；这些报告将事件分类为“人为错误”、“技术故障”、“外部原因”等。2014年至2020年的6年间，EMSA一致显示，大约80.7%的事故直接归因于人为错误。为了将此转换为适合可靠性分析的故障率（λ），采用了以下方法：
- 考虑船员在海上总暴露时间（通过船舶数量、平均船员规模和运营小时数估算）。
- 将每年涉及人为错误的事故数量与该暴露时间相关联。
- 这个比率给出了一个故障频率，可以解释为有效的人为相关故障率。技术组件的故障率本身是从多个潜在故障机制和操作条件中得出的综合表示。同样，本研究中采用的人为相关故障率也被解释为从事故统计中得出的等效综合故障频率。虽然海洋事故数据代表了涉及多个因素的复杂事件，但这种转换旨在提供给定暴露时间内人为引起故障可能性的有效系统级估计。这种方法并不旨在详细建模个别的人为错误机制，而是确保与用于技术组件的系统级可靠性框架保持一致。这种近似的局限性是公认的，得出的人为故障率应被视为适用于有人驾驶和自主配置之间比较分析的简化数量级表示。EMSA的数据表明，“海洋部门80.7%的事故（19,300起）是由人为错误引起的”，并且假设每艘船每年运动5000小时，计算出的人为错误故障率为……这种公式提供了系统级别人为引起故障频率的数量级估计。应当注意的是，这种方法并不旨在详细建模个别的人为错误机制，而是将它们的整体影响汇总为单一的等效故障率，与RBD模型中为技术组件采用的抽象层次一致。本研究中采用的可靠性模型基于船舶系统的层次化可靠性块图（RBD）表示，其中任务被分解为关键子系统，再进一步分解为单个组件。每个元素都由平均故障时间（MTTF）来表征，用于在假设指数故障行为的情况下推导出相应的故障率。第4节提供了随机建模方法的详细描述，而有人驾驶和无人驾驶配置的完整RBD结构分别在附录A中以层次表形式和附录B中以图形方式报告。需要考虑的是，即使这些来源具有权威性，它们提供的故障数据可能不直接适用于MASS应用，从而引入了显著的不确定性。为了考虑故障数据的有限可用性和异质性，模型被扩展为随机公式，其中MTTF值被视为随机变量而不是确定性输入。由此产生的框架使得可以通过基于仿真的技术将不确定性从组件级别传播到任务级别的可靠性。为了解决具有适当MTTF值的限制，采用了一种通过随机框架建模的替代解决方案。MTTF分布的标准差在名义值的10%到40%之间变化，以研究模型对故障数据不确定性的敏感性。这个范围并不是为了精确统计描述所有组件，而是为了提供在早期设计阶段和使用异构数据源的情境中通常遇到的不确定性水平的结构化探索。较低的值（10–20%）代表对故障数据相对有信心的场景，如文档齐全的组件，而较高的值（30–40%）代表保守条件，其中数据不确定性、操作条件的变异性或有限的实证证据可能显著影响可靠性估计（图2a,b）。图2. (a)：标准差10%的MTTF；(b)：标准差20%的MTTF。这种基于敏感性的方法允许评估比较结果的稳健性，并突出不确定性传播对系统级别可靠性结果的影响。这种方法使我们能够考虑来自异构来源的故障数据的变异性和有限信心。在MATLAB R2022b中进行的随机模拟生成了多个扰动MTTF数据集的迭代，每个周期重新计算子系统和任务可靠性。该过程的输出提供了一个可靠性概率分布，从中可以得出置信区间以及有人驾驶和无人驾驶配置之间的概率比较。开发的代码结构如下：
- 定义组件的平均故障时间（MTTF）；
- 定义选定的标准差；
- 生成介于-1和+1之间的随机数；
- 为每个组件生成随机MTTF；
- 计算各种子系统的可靠性（n次迭代）；
- 计算n次任务的可靠性；
- 计算任务的平均可靠性；
- 以图形方式表示分布。

4. SAR自主船舶的随机可靠性建模
本研究中实现的可靠性模型旨在提供对MASS（搜索与救援）快速巡逻船与其有人驾驶对应物在操作成功概率方面的稳健且现实的评估。可靠性评估分为两个阶段：确定性评估和随机评估。采用这种双重方法的动机在于组件可靠性参数（特别是平均故障时间MTTF）的估计存在固有的不确定性，这些参数很少能以纯确定性模型所需的精度和一致性获得。
在确定性研究中，系统被层次化地分解为五个关键子系统——导航控制、态势感知、推进、机动性和浮力/稳定性（图3），每个子系统进一步细分为子模块，直至最后一个单独的组件/单元。完整模型在附录A中为有人驾驶和无人驾驶配置进行了报告。子系统及任务本身的可靠性是使用具有指数故障定律的可靠性块图（RBD）计算的。考虑了两种不同持续时间和操作概况的任务：8小时的SAR任务和100小时的巡逻任务场景。确定性模型的输入数据来自多个来源，并在下面进行了展示。

图3. 有人驾驶船舶的层次结构（第二层）。直到第二层，有人驾驶和无人驾驶配置是等效的；从第三层开始出现差异，详见附录A。
对于SAR任务，需要两条轴线，任务在RBD中用一系列块进行建模（图4）。
图4. SAR任务的RBD示意图。
对于巡逻操作概况，假设任务至少通过一条轴线完成。在RBD方案中，轴线模块被设置为并联（图5）。
图5. 巡逻任务的RBD示意图。考虑了两种不同的任务持续时间：8小时和100小时。

5. 结果
本节展示了应用于两种船舶配置（有人驾驶和无人驾驶）的随机可靠性模型的仿真结果。该模型使用基于系统架构和组件级故障数据的连续时间马尔可夫链（CTMC）框架，来估计救援和巡逻任务的系统可用性、故障概率和任务成功的可能性。

5.1. 有人驾驶船舶配置——确定性模型
在有人驾驶船舶配置中，系统根据传统的操作层次（推进、导航、辅助和指挥/控制）进行细分，如附录A中所解释的。每个组件的故障率是一个固定值，在这种方法中不考虑可能减轻某些故障模式的人为干预（表1）。
表1. 有人驾驶船舶的可靠性模型结果。

5.2. 无人驾驶船舶配置——确定性模型
使用无人驾驶船舶模型的相同仿真结果如下所示（表2）。
表2. 无人驾驶船舶的可靠性模型结果。结果是根据第3段中介绍的方法获得的，使用了文献中提供的或船舶系统初步设计中特定组件制造商声明的MTTF数据。

5.3. 确定性模型结果的比较性初步分析
本段的目标之一是验证模型结果（表3）与这类船舶和任务的良好实践和经验是否一致。为了更好地理解单个模块的重要性及其对最终结果的影响，展示了单个主要模块（第二层）的可靠性结果。
表3. 各块的可靠性结果比较分析。在本节报告的可靠性块图中，推进、机动性和浮力块代表了完成任务所需的船舶平台的不同功能能力。推进块指的是船舶通过主要推进系统及其重要辅助设备产生和维持推力的能力，而机动块代表了控制航向和轨迹的能力，包括安全执行航向变化所需的转向和控制相关功能。导航控制和态势感知是MASS技术的两个关键要素。
所有RBD都在附录B中展示。
获得的结果代表了单个模块成功完成任务的概率（表3）。第二步，将任务成功概率计算为这些可靠性块的乘积。

5.4. 故障场景的随机建模结果
接下来展示了应用于关键机载系统故障行为的随机可靠性建模结果。组件的可靠性由高斯函数描述，其平均值MTTF和标准差范围从MTTF的10%到40%（图6、图7、图8和图9）。在MATLAB环境中进行了多次迭代计算，以随机方式计算各种配置的可靠性值，并为每个考虑的标准差范围提供了图形结果直方图。
图6. 8小时救援任务的可靠性分布，标准差为10%，有人驾驶和无人驾驶配置。
图7. 8小时救援任务的可靠性分布，标准差为20%，有人驾驶和无人驾驶配置。
图8. 8小时救援任务的可靠性分布，标准差为30%，有人驾驶和无人驾驶配置。
图9. 8小时救援任务的可靠性分布，标准差为40%，有人驾驶和无人驾驶配置。
通过分布结果，可以计算两个分布的重叠概率，所得结果如下所示（表4）：
表4. 分布重叠结果。在MTTF值的不确定性等于20%的情况下，有人驾驶配置更可靠的概率非常低（0.30%）。随着MTTF不确定性的增加，可靠性分布的变异性也增加，导致有人驾驶和无人驾驶配置之间的重叠增大。因此，无人驾驶配置的统计优势逐渐减小，有人驾驶配置达到或超过相同可靠性的可能性变得不可忽视。

5.5. 随机模型与确定性模型的比较
该模型基于的假设包括指数故障分布的无记忆特性、组件故障的独立性以及高斯分布能够充分表示MTTF值的变异性。虽然这些假设在可靠性工程中是标准的，但当应用于复杂的MASS架构时，它们会引入限制。在实际操作环境中，由于共享子系统、环境条件或共同原因事件，故障可能是相关的，系统行为可能表现出时间依赖的退化而不是无记忆特性[68,69,70,71,72,73,74]。因此，模型可能会低估或简化某些故障传播机制。特别是，模型的马尔可夫性质没有考虑具有记忆效应的退化机制，这在长期操作中是相关的（即，在每次仿真中船舶都被视为新建造的）。此外，任务限制的关注点排除了生命周期现象，高斯近似可能无法捕捉现实世界故障分布的偏态。
所提出的框架专注于硬件子系统，并没有明确建模更高层次的导航决策过程。因此，结果反映了任务级别的硬件可靠性，而不是完整的操作安全性过程。这一限制已被认识到，并将在未来的发展中得到解决。
结果表明，在故障率的不确定性适中（MTTF的变异性为10-20%）的情况下，无人驾驶船舶始终表现出比有人驾驶配置更高的可靠性。这一结果反映了消除了与人类相关的故障率，即使在上述模型中排除了软件可能故障的可能性，这些故障率在传统船舶中也是不可忽视的。然而，当MTTF数据的变异性超过大约30%时，组件级别引入的不确定性会通过可靠性模型传播，导致结果可靠性分布显著扩大。在这种情况下，有人驾驶和无人驾驶配置之间的区分度降低，两种解决方案的相对排名不再具有统计上的稳健性。因此，随机实现可能会产生有人驾驶配置达到与无人驾驶船舶相当或更高可靠性的场景。这种行为并不表明有人驾驶配置具有系统性的优越性，而是反映了由于输入数据高度不确定而导致模型稳定性和区分能力丧失。
主要结果之一是证明，在这种情况下，MTTF数据的小方差不会影响最终结果，即使没有确切的数据，我们仍然可以比较不同的设计解决方案。

6. 结论
本研究提出了一个针对MASS的随机可靠性框架，使用马尔可夫链来模拟MASS关键系统的动态故障和修复行为，与传统船舶相比。与传统的确定性方法不同，所提出的方法捕捉了系统状态的概率演变，从而能够处理MTTF数据可用性的问题。仿真结果显示，可靠性结果对架构选择和组件修复假设非常敏感。这加强了在MASS开发的早期设计和验证阶段采用随机过程的必要性。此外，该模型使得有人驾驶和无人驾驶配置之间的直接比较成为可能，为验证符合IMO MASS规范和新兴基于目标的船级社要求的功能等效性提供了定量基础。特别是，评估冗余、修复延迟和任务持续时间如何影响操作弹性对于满足自主系统的安全保证义务至关重要。
使用随机方法不仅仅是一种方法上的改进，而是对MASS可靠性数据固有变异性和不确定性的实际响应。通过纳入概率转换，该模型提供了在不完美操作条件下的系统行为的更真实和灵活的表示。它还允许进行关键分析，帮助识别关键设计参数和操作阈值，超过这些阈值后，自主配置的预期性能可能会下降到不可接受的水平。
最终，将基于马尔可夫的随机建模整合到更广泛的可靠性评估框架中，有助于基于科学方法的MASS安全性的更严格、透明和符合法规的评估。未来的研究将侧重于将所提出的马尔可夫建模框架扩展到实时、自适应的可靠性评估。一个有前景的方向是开发非均匀马尔可夫模型，其转换率根据传感器反馈和操作上下文动态更新。将这些模型与基于条件的维护（CBM）策略和基于AI的诊断相结合，可以显著提高自主船舶对初期故障的响应能力。此外，将随机可靠性结果整合到整体数字孪生环境中，将能够在整个船舶生命周期内进行持续的风险评估。
未来的改进还应包括评估软件的可靠性，而不仅仅是本工作中展示的硬件。还计划使用海试或高保真仿真平台对模型进行实验验证，以完善参数估计并确保与实际系统行为的对齐。最后，海军设计师、控制工程师和船级社之间的跨学科合作对于将这些方法嵌入到未来的MASS操作的安全保证和监管框架中至关重要。