韩国推进自主导航系统验证国际标准制定

ANS涉及的船用软件与系统较为复杂，包含AIS、GPS、视觉感知、状态分析、会遇判断、路径规划、避碰决策、运动控制等多个子系统的信息输入，且该系统同时受限于船型、操作性能、航行水域和自主等级的系统设计等因素的影响（例如在开阔水域运行良好的避碰算法，在船舶密集、航道狭窄的复杂水域可能出现判断或操纵异常），因此固定的几组指标很难完整覆盖所有的自主航行系统。

为解决上述问题，ISO 25934提出了一套开发ANS验证程序的方法：通过建立“系统定义—运行模式—风险分析—需求提取—测试场景—验证程序”工程链条，为不同厂商、船东、测试机构及监管提供统一的语言，搭建了统一的验证体系，提升了验证系统的普适性。

ISO 25934提出了ANS验证程序开发的五个基本步骤，即：明确系统特征、划分运行模式、识别重大危险、构建测试场景、形成验证报告。

1.明确系统特征，确定验证对象

受限于不同MASS的差异化程序架构，ANS在不同船舶中具有不同的功能范围。因此，明确ANS验证程序的第一步应明确该ANS在整个MASS架构中的角色、功能以及软硬件边界，确定ANS在整船架构中的具体功能与限值（如路径规划、自主避碰等）。在此步骤中，应审查所有涉及ANS的各类文档，包括但不限于规范、操作概念说明、功能描述等。

2.划分运行模式，明确运行边界

ANS在不同水域使用的避碰算法存在较大差异。因此，本标准将ANS的运行模式作为验证程序开发的重要评价维度，分别从作业水域、船舶运行状态、人员干预情况三个方面评判ANS在不同转换条件及系统模式下的表现行为，通过多次测试将运行设计条件与验证条件相对应，明确系统预定的使用边界与运行方式。具体内容如下图所示。

图1 ANS验证程序开发的关键评价维度

3.识别重大风险，分析安全措施

ANS场景风险分析需从潜在危险状态出发，梳理事故“诱因—发展—后果”的演化过程。风险主要来自软硬件故障、实际运行条件超出系统设计边界，以及本船或目标船的人为操作失误；事故后果则可能从一般避让逐步升级为碰撞、搁浅，严重时甚至导致船舶沉没。

针对这些风险，ISO 25934提出两类安全措施：“Safety barriers（安全屏障）”用于预防事故或阻止风险升级，如系统冗余、数据校验等；“Fallback（降级/应急处置）”则是在风险难以通过正常系统操作控制时，通过停车、倒车或转为人工操纵等方式，使船舶进入风险尽可能低的状态。

ANS验证需明确安全屏障和Fallback的功能、性能及触发条件，并通过风险分析识别影响系统安全的关键因素，将测试集中于高风险场景和关键安全功能。对于复杂风险，标准还提出概率风险分析、功能共振分析、系统理论过程分析和贝叶斯网络等方法，以确定验证重点。标准推荐的风险评估工具见表1。

表1 ISO 25934推荐的用于风险评估的工具_[1]

4.构建测试场景，模拟测试环境

与传统设备测试相比，ANS不仅要验证设备性能，还要考虑潜在风险及其应对能力。因此，需要针对已识别的风险和需求设计测试场景，分别验证系统“功能是否正确实现”和“性能是否达到要求”。考虑到当前ANS技术仍处于发展阶段，ISO 25934建议早期测试可采用虚实融合、虚拟环境或三维仿真平台，作为实船测试的补充或替代。

由于ANS在不同运行模式下面临的要求和场景不同，测试场景还应与运行模式相匹配。为确保每项要求都得到验证，ISO 25934引入需求可追溯矩阵（RTM），将功能和性能要求与设计、实施及测试案例逐一关联，从而发现“有需求、无测试”或“有测试、无对应需求”等问题，并在需求变化时快速追踪受影响的设计和测试内容。

5.形成验证报告，证实决策安全

传统设备通常可以通过几项明确的参数测试判断是否达标，但自主航行系统涉及感知、决策、规划、控制和异常响应等多个环节，不仅需检验最终测试结果，还要追溯“测了什么、为什么这样测、如何得出结论”。因此，ISO 25934建议ANS验证系统应借鉴英国HSE Safety Case思路：先识别关键风险和安全要素，再明确性能要求和验证方法，最终形成有依据、可追溯的验证结论。

1.推荐使用的评估指标

表2 推荐使用的评估指标

2.推荐模拟的测试场景

该标准按照作业水域、人员位置、人员介入程度划分ANS的运行模式，并以首字母代替，例如CA-OB-SC代表“沿海水域-人员在船-有人监督”。具体内容如下图。

图2 推荐模拟的测试场景分类

自主船舶实现规模化应用，既依赖感知、决策和控制技术的发展，也需要建立可靠的安全验证机制。ISO 25934从系统特征和运行边界出发，以风险分析为核心，将安全要求逐步转化为测试场景和验证证据，为ANS安全验证提供系统化思路。

目前ISO 25934已进入委员会草案（CD）阶段，预计将于2027年正式发布。随着船舶自主化水平进一步提高，ANS安全评价必然会由单一设备性能测试向系统级、场景化和风险驱动的综合验证转变。其提出的验证思路为MASS Code相关安全要求向具体试验验证方法转化提供了技术参考。其相关方法也将为自主船舶试验验证、测试评价以及船级检验和监管认可提供参考，并为我国相关试验验证技术和标准研究带来新的课题。