一种结构化的信息技术系统危害识别方法（危害）

针对健康安全、信息安全的安全管理体系已经相对成熟并获得广泛应用，但针对特定产品、系统或服务的安全管理体系，普及应用程度仍然很低。原因之一是不同系统具有不同的安全、风险、危害特征，其危害识别方法和风险评估方法缺乏健康安全和信息安全等对应方法的通用性。其中，系统危害识别是系统安全管理体系的一项基础性研究任务。有些组织忽略了一些对组织达成目标具有重大影响的危害，可能给组织带来重大风险。本文针对工程技术系统，提出一种系统危害识别的结构化方法。为了说明这种方法的应用，本文以城市轨道交通自动售检票系统（AFC，automatic fare collection system）为案例研究对象，基于危害识别的基础模型和转换模型，给出一些典型危害识别案例。

1危害

有关hazard的定义，可以考察以下经典文献：

在职业健康安全管理体系语境中，经典文献来自英国标准协会（BSI）等13个组织联合推出的类国际性标准OHSAS18001：2007，中国国家标准GB/T28001-2011《职业健康安全管理体系要求》等同采用该标准，并将hazard译为危险源。危险源是“可能导致人身伤害和（或）健康损害的根源、状态或行为，或其组合”。

上述标准已经由国际标准化组织（ISO）于2018年3月12日在其官方网站发布为ISO标准：ISO45001：2018。该标准定义hazard为“可能对人的身体、精神或认知状况造成不利影响的来源或环境”。该标准对应的中文标准尚未发布。

在系统安全工程语境中，有关危害概念的经典定义，可以考察美国国防部《系统安全标准实践》，危害是“任何可能对人员造成伤害、疾病或死亡，对系统、设备或资产造成损害或损失，对环境造成损害的真实或潜在的情况”。

在轨道交通行业，国家标准GB/T21562-2008《轨道交通可靠性、可用性、可维修性和安全性规范及示例》等同采用了IEC622782002标准，并将hazard译为危害。危害是“对人造成潜在伤害或对环境造成潜在损害的物理状况”。

本文研究的范围属于系统安全工程语境，案例研究是城市轨道交通自动售检票系统，因此参考文献GB/T21562将hazard译为危害。而有关危害的定义，则参考ISO45001和《系统安全标准实践》定义为：危害是“任何对人的身体、精神或认知状况造成不利影响，对系统或设备及资产造成损害或损失，对环境造成损害的来源、状态或行为，或其组合”。

在交通客运系统中，对人的伤害不应该仅关注对人员造成伤害、疾病或死亡，也应该重视对人的精神或认知状态造成的不利影响。媒体经常报道航空客运、邮轮客运、城市轨道交通客运等由于环境变化、系统故障、管理不善等因素导致的乘客滞留事件。这些系统的安全工程的从业人员应该以公众的关注为焦点，关注这些危害，并采取适当的措施（包括应急措施）来预防这些危害的发生或减轻这些危害的损害程度。

特别地，由于城市轨道交通具有客流密集的特征，乘客滞留可能引发公共交通安全风险。预防系统服务连续性中断导致的乘客大面积滞留事件应该成为城市轨道交通自动售检票系统安全工程中关注的焦点。