MASS规则下验船师的能力转型——风险评估实战指南

转型。

只讲一件事：风险评估。

为什么单独用一整篇讲风险评估？因为在MASS Code的19个章节里，第3章"风险评估"是整个规则的灵魂。 它不是"背景材料"，不是"附录说明"——它是连接安全目标和技术方案之间的桥梁。

说白了：传统验船师是"对着公约条文验船"，公约说什么你就查什么。MASS时代的验船师是"对着风险评估报告验船"——你不能光会查条目，你得能看懂、能判断、能质疑一份风险评估做的对不对。

这就是差距，也是机会。

看完这篇文章你会明白：

1. 为什么MASS规则逼着验船师学风险评估

2. FSA五步法——从IMO规则制定到单船检验的统一方法论

3. HAZID、HAZOP、Bow-Tie三大工具的区别和适用场景

4. ALARP原则——不是越安全越好，是"合理安全的底线"

5. 一份MASS船舶风险评估报告长什么样（实战拆解）

6. 验船师能力转型的"三阶段路线图"

一、先说透一个根本问题：验船师为什么要学风险评估？

因为MASS Code第3章白纸黑字写了：风险评估是强制性的。

不是"建议做"，是"必须做"。

但比"强制要求"更重要的，是它改变了验船师的工作模式。对比一下就清楚了：

核心变化：验船师从"合规检查员"变成了"风险审核员"。

这不是一个选修课，是必修课。MASS Code第3章的原文大意是：船东/设计方必须对MASS系统进行系统性的风险评估，并向主管机关（船级社）证明风险已被控制在可接受水平。验船师就是那个"审核这份证明的人"。

如果你看不懂风险评估报告、判断不了它做得对不对——你怎么审？你怎么签证书？

二、FSA：一切风险评估的"祖传方法论"

IMO的FSA（Formal Safety Assessment，综合安全评估）是所有海事风险评估方法的源头。MASS Code要求的风险评估框架，本质上就是FSA的简化应用版。

FSA不是IMO拍脑袋想出来的，它的背景是1988年北海Piper Alpha平台爆炸（167人遇难）。那次灾难让整个海事行业意识到：等事故发生了再补规则，代价太大了。必须从"被动反应"转向"主动预防"。

FSA的核心是五步法。我把它用验船师能听懂的语言重新翻译一遍：

步骤 IMO原文 验船师翻译版

──────────────────────────────────────────────────

第1步 危害识别 可能出什么问题？ 列出所有会出事的情况

第2步 风险评估 有多严重、有多可能？ 给每个风险打分、排优先级

第3步 风险控制 能不能改善？ 想招儿——技术方案或管理措施

第4步 成本效益 花多少钱、改善多少？ 算账——值不值得做

第5步 决策建议 该采取什么行动？ 给船东一个明确的结论

这五步不是学术论文里的漂亮框架，是你在船检实践中真实要用的工作流程。

举个例子：假设你要审核一艘DOA 3（无人遥控）集装箱船的MASS风险评估报告，FSA五步法的实际应用如下：

第1步：危害识别——"可能出什么问题？"

用HAZID（危险识别）方法，围绕船舶的MASS功能逐一识别危险场景：

如果你是审核这份报告的验船师，你要问的不是"这个表填了没有"，而是：

· 危害识别覆盖了所有MASS功能域吗？（通信、感知、决策、执行、应急）

· 有没有遗漏"传统有人船有但无人船缺失"的安全功能？（比如：没人巡视机舱→漏油漏气怎么发现？）

· 危害识别是基于什么方法做的？（HAZID研讨会还是一个人拍脑袋？参与者是否包含各专业代表？）

第2步：风险评估——"有多严重、有多可能？"

对每个已识别的危险进行风险评级。标准做法是用风险矩阵：

后果严重度

轻微 一般 严重 重大 灾难

发生可能性 极频繁 中 高 高 极高 极高

频繁 中 中 高 高 极高

偶尔 低 中 中 高 高

较少 低 低 中 中 高

极少 低 低 低 中 中

方法论提醒：

· "极少"发生不等于"不会发生"——MASS是新技术，历史数据极少，必须同时考虑专家判断和模拟分析

· 人为因素的风险评分（如操作员疲劳）不能用"可能性低"来搪塞——这正是MASS的新风险点

第3步：风险控制——"怎么改善？"

对于评级为"高"或"极高"的风险，必须提出具体的控制措施：

第4步：成本效益——"值不值得？"

这不是验船师的主要工作，但你需要能看懂。船东在风险评估报告中应该说明：为什么选方案A而不是方案B，成本差多少，安全收益差多少。

第5步：决策建议——"该怎么做？"

这就是你的工作。基于以上四步的分析，你给出审核结论：

· 风险评估是否全面覆盖了MASS的所有功能域？

· 高风险场景的控制措施是否充分、可验证？

· 残余风险是否已降至ALARP水平？

· 是否需要补充额外的检验项目或限制条件？

三、三大工具的分工：HAZID、HAZOP、Bow-Tie 各管什么？

理解了FSA五步法后，下一个问题：风险评估的工具箱里有哪些武器？每把武器什么时候用？

我见过太多人把HAZID和HAZOP搞混。这是三个工具的分工图：

HAZID（危险识别）——"大事不漏"

· 做什么：围绕图纸/原理图，系统性列出所有可能的危险场景

· 适用阶段：项目早期（概念设计/初步设计阶段）

· 方法特征：对话式、头脑风暴式，不要求太深入

· MASS典型应用：在确定MASS系统架构后，识别"通信断了会怎样""传感器失效会怎样""误决策会怎样"

· 产出：危害清单（Hazard Log）

HAZOP（危险与可操作性研究）——"细节不放过"

· 做什么：用引导词（无、多、少、反向、提前、延迟等）逐一检查每个系统节点，找出偏离设计预期的状态

· 适用阶段：详细设计阶段，已经有了具体的系统方案

· 方法特征：逐节点、逐引导词、逐参数——非常繁琐但非常细致

· MASS典型应用：对自动避碰子系统做HAZOP，逐个检查"如果目标数据延迟到达会怎样""如果两个传感器数据冲突会怎样""如果算法输出的航向指令被篡改会怎样"

· 产出：HAZOP工作表

HAZID vs HAZOP 怎么选？

实际上，在MASS船舶的风险评估中，HAZID和HAZOP是接力关系，不是替代关系。

Bow-Tie（蝴蝶结模型）——"一张图把话说清楚"

如果说HAZID和HAZOP是分析工具，Bow-Tie就是沟通工具。它的价值不在分析深度，而在可视化清晰度。

Bow-Tie的结构：

原因/威胁 预防屏障 关键事件 控制/缓解屏障 后果

──────────────────────────────────────────────────────────────────────────

通信卫星故障 → 通信中断 ← 自动切换备用链路 → 船舶减速

天线物理损坏 → 双链路冗余设计 ╔════════╗ ← 降级至DOA 1模式 → 等待修复

岸端设备故障 → 定期维护检查 ║ ║ ← 应急锚泊程序 → 延误

网络攻击 → 网络安全防护 ║ 关键 ║ ← 人工接管（如在船） → 无事故

║ 事件 ║

╚════════╝

Left side（左侧）： 可能导致关键事件的原因，以及防止这些原因演变成事件的预防屏障。

Right side（右侧）： 事件发生后的可能后果，以及减轻这些后果的缓解屏障。

验船师为什么要会看Bow-Tie图？

· 一眼看出"最危险的原因有没有足够的预防屏障"

· 判断"如果预防屏障都失效了，缓解屏障能不能兜底"

· 识别"单点故障"——某个屏障失效后，有没有冗余

四、ALARP：别被"绝对安全"骗了

ALARP（As Low As Reasonably Practicable，合理可行尽量低）是英国法下的核心安全原则，被IMO引入海事风险决策。它回答的问题是："多安全才算够安全？"

一句话定义：

ALARP = 除非进一步降低风险的成本与取得的安全收益严重不成比例，否则风险应该持续被降低。

在MASS船舶的风险评估中，ALARP的实操含义是：

验船师的实战判断清单：

当一个船东说"这个风险我们已经控制在ALARP以下了"，你要问：

1. 你展示的残余风险数据可信吗？（数据来源？假设条件？不确定性？）

2. 有没有更有效的控制措施？（哪怕船东因为成本原因没选，至少要知道有更好的方案）

3. "成本严重不成比例"的判断基准是什么？（不能是船东随口一说，要有分析依据）

4. 行业通行做法是什么？（你用的方案是不是跟行业最佳实践一致？如果大家都在用双链路通信，你只用单链路，那就不ALARP）

记住一个铁律：ALARP不是"偷工减料的借口"。

五、实战拆解：一份MASS船舶风险评估报告的核心要素

现在我们来拆解一份标准MASS风险评估报告的结构。如果你是审核的验船师，以下每个要素都是你必须检查的：

验船师审核重点（按风险排序）：

1. 范围定义有没有漏洞？ 最怕的是"不覆盖XX功能域"但没有充分理由——可能是故意回避难点

2. 团队构成够不够？ 只有轮机人员参与的风险评估，不可能覆盖通信和网络安全风险

3. 初始风险评级有没有系统性的低评？ 尤其注意：新技术（MASS依赖的AI算法、卫星通信）风险经常被低估

4. 控制措施有没有被"乐观假设"美化？ 典型的乐观假设："操作员会在30秒内响应"→实际上可能更慢

5. 高风险项的ALARP论证站得住吗？ 这是最容易出问题的地方

六、验船师能力转型三阶段路线图

基于以上分析，我对验船师应对MASS时代的能力转型给出一个务实的三阶段路线图：

第一阶段：入门（现在-2027，非强制性规则阶段）

目标：能看懂、能提问、能判断

检验标志： 能独立审核一份MASS船舶的风险评估报告，写出有理有据的审核意见。

第二阶段：熟练（2027-2030，经验积累阶段）

目标：能主持、能指导、能独立

检验标志： 能独立主持一次MASS船舶的完整风险评估审核，并在团队中指导初级验船师。

第三阶段：引领（2030-2032，强制性规则前夜）

目标：能制定、能创新、能决策

七、工具清单：验船师风险评估自修包

提醒： 这个清单是基于2026年5月的公开信息整理的。MASS规则正式通过后（预计MSC 111结束后），IMO和各船级社会发布大量配套指南，持续关注。

八、总结

如果你从这篇3800字的文章里只记住三句话，我希望是这三句：

1. MASS时代的验船师，核心能力从"背公约"变成了"审风险"。 你能看懂一份风险评估报告吗？你能判断它做得对不对吗？你能在审核意见里写出有技术含量的质疑吗？——这就是你的新基本功。

2. 风险评估不是"多学一门课"，而是"换一种工作方式"。 FSA→HAZID/HAZOP→Bow-Tie→ALARP，这个工具体系不是PPT里的花架子，是将来你签每一份MASS证书的基础。

3. 从现在开始学，2032年你就是稀缺资源。 等到强制性规则落地了你再学，那时候市场上已经有一批干了5-6年MASS风险评估的验船师了。先发优势，在规则变革期是最值钱的。

系列预告： 下一篇专栏，我将继续MASS系列的第3篇——MASS规则下的远程操作检验：岸上控制中心怎么验？ 这将是IMO公约史上第一次需要验船师"下岸"而不是"上船"的检验领域。关注我，不迷路。

本文基于IMO FSA指南（MSC-MEPC.2/Circ.12/Rev.2）、MASS Code草案、CCS公开规范文件及行业通用风险分析方法编写，仅代表个人从业经验的提炼和分享，不代表任何机构观点。欢迎在评论区交流你的风险评估实战经验。