引論：我們為您整理了13篇風險評估采用的方法范文，供您借鑒以豐富您的創作。它們是您寫作時的寶貴資源，期望它們能夠激發您的創作靈感，讓您的文章更具深度。

篇1

檔案信息安全風險評估的核心問題之一是風險評估方法的選擇，風險評估方法包括總體方法和具體方法。總體方法是從宏觀的角度確定檔案信息安全風險評估大致方法，包括：風險評價標準確定方法；風險評估中資產、威脅和脆弱性的識別方法；風險評估輔助工具使用方法及風險評估管理方法等。事實上，信息安全風險評估方法經歷了一個不斷發展的過程，“經歷了從手動評估到工具輔助評估的階段，目前正在由技術評估到整體評估發展，由定性評估向定性和定量相結合的方向發展，由基于知識(或經驗)的評估向基于模型(或標準)的評估方法發展。”。隨著信息安全技術與安全管理的不斷發展，目前信息安全風險評估方法已發展到基于標準的、定性與定量相結合的、借用工具輔助評估的整體評估方法。檔案信息安全風險評估總體方法應采用目前最先進方法，即采用依據合適風險評估標準、定性與定量結合、借助評估工具或軟件來實現不僅進行檔案信息安全技術評估，而且進行檔案信息安全管理評估的整體評估方法。

1　檔案信息安全風險評估標準的確定

信息安全風險評估標準主要分為國際國外標準和國家標準。國際國外標準有：《ISO／IEC 13335　信息技術　IT安全管理指南》、《ISO／IEC 17799：2005信息安全管理實施指南》、《ISO／IEC27001：2005信息安全管理體系要求》、《NIST SP 800-30信息技術系統的風險管理指南》系列標準等，這些標準在國外已得到廣泛使用，而我國信息安全風險評估起步較晚，在吸取國外標準且根據我國國情的基礎上于2007年制定了國家標準((GB／T 20984-2007信息安全技術信息安全風險評估規范》，并在全國范圍內推廣。國家發展改革委員會、公安部、國家保密局于2008年了“關于加強國家電子政務工程建設項目信息安全風險評估工作的通知(發改高技[2008]2071號)”，該文件要求國家電子政務工程建設項目(以下簡稱電子政務項目)，應開展信息安全風險評估工作，且規定采用《GB／T 20984-2007信息安全技術信息安全風險評估規范》。檔案信息系統屬于電子政務系統，檔案信息安全風險評估也應該采取OB／T 20984-2007標準。

2　檔案信息安全風險評估需定性與定量相結合

定性分析方法是目前廣泛采用的方法，需要憑借評估者的知識、經驗和直覺，為風險的各個要素定級。定性分析法操作相對容易，但也可能因為分析結果過于主觀性，很難完全反映安全現實情況。定量分析則對構成風險的各個要素和潛在損失水平賦予數值或貨幣金額，最后得出系統安全風險的量化評估結果。

定量分析方法準確，但由于信息系統風險評估是一個復雜的過程，整個信息系統又是一個龐大的系統工程，需要考慮的安全因素眾多，而完全量化這些因素是不切實際的，因此完全量化評估是很難實現的。

定性與定量結合分析方法就是將風險要素的賦值和計算，根據需要分別采取定性和定量的方法，將定性分析方法和定量分析方法有機結合起來，共同完成信息安全風險評估。檔案信息安全風險評估應采取定性與定量相結合的方法，在檔案信息系統資產重要度、威脅分析和脆弱性分析可用定性方法，但給予賦值可采用定量方法。具體脆弱性測試軟件可得出定量的數據，最后得出風險值，并判斷哪些風險可接受和不可接受等。

3　檔案信息安全風險評估需借用輔助評估工具

目前信息安全風險評估輔助工具的出現，改變了以往一切工作都只能手工進行的狀況，這些工作包括識別重要資產、威脅和弱點發現、安全需求分析、當前安全實踐分析、基于資產的風險分析和評估等。其工作量巨大，容易出現疏漏，而且有些工作如系統軟硬件漏洞檢測等無法用手工完成，因此目前國內外均使用相應的評估輔助工具，如漏洞檢測軟件和風險評估輔助軟件等。檔案信息安全風險評估也需借助相應的輔助工具，直接可用的是各種系統軟硬件漏洞測試軟件或我國依據《GB／T 20984-2007信息安全技術信息安全風險評估規范》開發的風險評估輔助軟件，將來可開發專門的檔案信息安全風險評估輔助工具軟件。

4　檔案信息安全風險評估需整體評估

信息安全風險評估不僅需進行安全技術評估，更重要的需進行安全管理等評估，我國已將信息系統等級保護作為一項安全制度，對不同等級的信息系統根據國家相關標準確定安全等級并采取該等級對應的基本安全措施，其中包括安全技術措施和安全管理措施，因此評估風險時同樣需進行安全技術和安全管理的整體風險評估，檔案信息安全風險評估同樣如此。

檔案信息安全風險評估具體方法

根據檔案信息安全風險評估原理。從資產識別到風險計算，都需根據信息系統自身情況和風險評估要求選擇合適的具體方法，包括：資產識別方法、威脅識別方法、脆弱性識別方法、現有措施識別法和風險計算方法等。

1　資產識別方法

檔案信息資產識別是對信息資產的分類和判定其價值，因此資產識別方法包括資產分類方法和資產賦值方法。

(1)資產分類方法

在風險評估中資產分類沒有嚴格的標準，但一般需滿足：所有的資產都能找到相應的類；任何資產只能有唯一的類相對應。常用的資產分類方法有：按資產表現形式分類、按資產安全級別分類和按資產的功能分類等。

在《GB／T 20984-2007信息安全技術信息安全風險評估規范》中，對資產按其表現形式進行分類，即分為數據、軟件、硬件、服務、人員及其他(主要指組織的無形資產)。這種分類方法的優點為：資產分類清晰、資產分類詳細，其缺點為：資產分類與其安全屬性無關、資產分類過細造成評估極其復雜，因為目前大部分風險評估

都以資產識別作為起點，一項資產面臨多項威脅，—項威脅又與多項脆弱性有關，最后造成針對某一項資產的風險評估就十分復雜，缺乏實際可操作性。這種分類方法比較適合于初次風險評估單位對所有信息資產進行摸底和統計。

風險評估中資產的價值不是以資產的經濟價值來衡量，所以信息資產分類應與信息資產安全要求有關，即依據信息資產對安全要求的高低進行分類，這種方法同時也滿足下一環節即信息資產重要度賦值需求。任何一個檔案信息資產無論是硬件、軟件還是其他，其均有安全屬性，在《GB／T 20984-2007信息安全技術信息安全風險評估規范》中要求：“資產價值應依據資產在保密性、完整性和可用性上的賦值等級，經過綜合評定得出”。可選擇每個資產在上述三個安全屬性中最重要的安全屬性等級作為其最后重要等級。但檔案信息安全屬性應該更多，除上述屬性外還包括：真實性、不可否認性(抗抵賴)、可控性和可追溯性，所以可以根據檔案信息的七個安全屬性中最重要屬性的等級作為該資產等級。

目前信息資產安全屬性等級如保密性等級可分為：很高、高、中等、低、很低，因此信息資產按安全等級也可分為：很高、高、中等、低、很低，即如果此信息資產保密性等級為“中”，完整性等級為“中”，可用性等級為“低”，則取此信息資產安全等級最高的“中”級。

按信息資產安全級別分類法符合風險評估要求，因為體現了安全要求越高其資產價值越高的宗旨，在統計資產時也可按表現形式和安全等級結合的方法進行，如下表1所示。“類別”為按第一種分類方法中的類別，重要度為第二種方法中的五個等級。

但如果風險評估時按表1進行資產分類時，每個檔案信息系統將具有很多資產，這樣針對每一項資產進行評估的時間和精力對于評估方都難以接受。因此，在《信息安全風險評估——概念、方法和實踐》一書中提出：“最好的解決辦法應該是面對系統的評估”，信息資產安全等級分類的起點可以認為是系統(或子系統)，這樣可以在資產統計時用資產表現形式進行分類，在資產安全等級分類時按系統或子系統進行大致分類，即同一個系統或子系統中的資產的安全等級相同，這樣滿足了組織進行風險評估時“用最少的時間找到主要風險”的思想。

(2)資產賦值方法

由于信息資產價值與安全等級有關，因此對資產賦值應與“很高、高、中等、低、很低”相關，但這是定性的方法，結合定量方法為對應“5、4、3、2、1”五個值，同時將此值稱為“資產等級重要度”。

2　威脅識別方法

(1)威脅分類方法

對檔案信息系統的威脅可從表現形式、來源、動機、途徑等多角度進行分類，而常用的為按來源和表現形式分類。按來源可分為：環境因素和人為因素，人為因素又分為惡意和無意兩種。基于表現形式可分為：物理環境影響、軟硬件故障、無作為或操作失誤、管理不到位、惡意代碼、越權或濫用、網絡攻擊、物理攻擊、泄密、篡改和抵賴等。由于威脅對信息系統的破壞性極大，所以應以分類詳細為宗旨，按表現形式方法分類較為合適。

(2)威脅賦值方法

威脅賦值是以威脅出現的頻率為依據的，評估者應根據經驗或相關統計數據進行判斷，綜合考慮三個方面：“以往安全事件中出現威脅頻率及其頻率統計，實踐中檢測到的威脅頻率統計、近期國內外相關組織的威脅預警”。。可以對威脅出現的頻率進行等級化賦值，即為：“很高、高、中等、低、很低”，相應的值為：“5、4、3、2、1”。

3　脆弱性識別方法

脆弱性的識別可以以資產為核心，針對每一項需要保護的資產，識別可能被威脅利用的弱點，同時結合已有安全控制措施，對脆弱性的嚴重程度進行評估。脆弱性識別時來自于信息資產的所有者、使用者，以及相關業務領域和軟硬件方面的專業人員等，并對脆弱性識別途徑主要有：問卷調查、工具檢測、人工核查、文檔查閱、滲透性測試等。

(1)脆弱性分類方法

脆弱性一般可以分為兩大類：信息資產本身脆弱性和安全控制措施不足帶來的脆弱性。資產本身的脆弱性可以通過測試或漏洞掃描等途徑得到，屬于技術脆弱性。而安全控制措施不足的脆弱性包括技術脆弱性和管理脆弱性，管理脆弱性更容易被威脅所利用，最后造成安全事故。檔案信息系統脆弱性分類最好按技術脆弱性和管理脆弱性進行。技術脆弱性涉及物理層、網絡層、系統層、應用層等各個層面的安全問題，管理脆弱性又可分為技術管理脆弱性和組織管理脆弱性兩方面。

(2)脆弱性賦值方法

根據脆弱性對資產的暴露程度(指被威脅利用后資產的損失程度)，采用等級方式可對已經分類并識別的脆弱性進行賦值。如果脆弱性被威脅利用將對資產造成完全損害，則為最高等級，共分五級：“很高、高、中等、低、很低”，相應的值為：“5、4、3、2、1”。

脆弱性值(已有控制措施仍存在的脆弱性)也可稱為暴露等級，將暴露等級“5、4、3、2、1”可轉化為對應的暴露系數：100％、80％、60％、40％、20％，再將“脆弱性”與“資產重要度等級”聯系，計算出如果脆弱性被威脅利用后發生安全事故的影響等級。

影響等級=暴露系數×資產等級重要度

4　已有控制措施識別方法

(1)識別方法

在識別脆弱性的同時應對已經采取的安全措施進行確認，然后確定安全事件發生的容易度。容易度描述的是在采取安全控制措施后威脅利用脆弱性仍可能發生安全事故的容易情況，也就是威脅的五個等級：“很高、高、中等、低、很低”，相應的取值為：“5、4、3、2、1”，“5”為最容易發生安全事故。

同時安全事件發生的可能性與已有控制措施有關，評估人員可以根據對系統的調查分析直接給在用控制措施的有效性進行賦值，賦值等級可分為0-5級，

“0”為控制措施基本有效，“5”為控制措施基本無效。

(2)安全事件可能性賦值

安全事件發生的可能性可用以下公式計算：

發生可能性=發生容易度(即威脅賦值)+控制措施

5　風險計算方法

風險計算方法有很多種，但其必須與資產安全等級、面臨威脅值、脆弱性值、暴露等級值、容易度值、已有控制措施值等有關，計算出風險評估原理圖中的影響等級和發生可能性值。目前一般而言風險計算公式如下：

風險=影響等級×發生可能性

綜上所述，可將信息資產、面臨威脅、可利用脆弱性、暴露、容易度、控制措施、影響、可能性、風險值構成表2，最終計算出風險值。下表以某數字檔案館為例，其主要分為館內檔案管理系統和電子文件中心，評估資產以子系統作為分類和賦值為起點，并只以部分威脅、脆弱性列出并計算風險。

上表中暴露等級值體現了脆弱性，容易度體現了威脅，以表2第一行為例計算檔案管理系統數據泄密的風險值，過程如下：

影響等級=暴露系數×資產等級重要度＝(3／5)*5＝3

可能性=容易度(威脅值)+控制措施值＝3+3＝6

篇2

[中圖分類號] TP309 [文獻標識碼] A [文章編號] 1673 - 0194（2015）21- 0090- 02

信息安全風險評估是以風險管理為基礎，通過科學的方法和手段，對企業信息系統所面臨的威脅與存在的脆弱性進行全面分析，以安全事故對企業生產經營有可能帶來的危害展開評估，進而制定出有效的防御及整改措施[1]。信息安全風險評估在企業信息安全保障體系中占據著十分重要的地位，其不但是重要的評價方法，同時也是利于企業決策的有效機制。如果缺乏準確及時的風險評估，便不能準確的判斷出企業所存在的信息安全問題，因此加強企業信息安全風險評估，對每一個中小企業來說，都意義重大。

1 中小企業信息安全評估方法

為了進一步評估信息系統的安全風險，多種風險評估方法被開發出來并在企業中得以運用。定性評估法，定量評估法以及半定量評估法是目前較為常用的幾種方法。風險評估中的定量評估方法，主要是結合企業特點，根據評估內容和評估流程，從眾多的信息系統、人員和設備中，利用分類分別計算比例的方法，對評估對象合理選定，并進行數量采樣[2]。并在此基礎上，分析企業信息系統中資產價值、威脅性以及脆弱性三者之間存在的函數關系，從而根據企業實際情況選取恰當的風險計算方法，合理計算出企業信息安全風險評估數值。本文認為定量方法對當前的中小企業來說更具實用價值，主要可從風險計算方法、威脅可能性量化賦值方法著手。

1.1 風險計算方法

后果（Consequence）及可能性（Likelihood）是風險具有的兩個基本屬性。風險對信息系統的影響，說到底也是這兩個因素所造成的。資產的不同自然也使其面臨的主要威脅存在差異。而隨著威脅可以利用的、資產存在的弱點數量的增加會增加風險的可能性，隨著弱點嚴重級別的提高會增加一該資產面臨風險的后果。通常來說， 某項資產風險的可能性為資產脆弱性與存在威脅的可能性的函數，同時風險后果則為資產價值（影響）的函數。本論文采用如下算式來得到資產的風險賦值：

風險值=資產價值×威脅可能性×資產脆弱性

上述公式主要考慮到各參數采取的取值并不十分精確，因而加入了以往的經驗和判斷，在國際中對此類數據則通常采用數學乘法或矩陣等方法。而采用線性相乘，則主要是為了方便進行計算。企業實施風險分析可以從風險信息和數據，進行不同程度的改進。并根據計算出的風險值的數值范圍，確定相應的風險等級。風險數值與風險等級對應的關系見表1。

1.2 脆弱性量化賦值方法

脆弱性和威脅所存在的對應關系，應在評估時充分考慮到，要知道相對應的脆弱性是威脅起作用的基本因素，因此脆弱性與威脅基本上是通過一一對應的形式呈現出來的。對脆弱性大小的評定需要結合評估采集的調研結果、安全漏洞掃描結果以及人工安全檢查結果。參照國際通行做法和專家經驗，將資產存在的脆弱性分為5個等級，分別是很高（VH）、高（H）、中（M）、低（L）、可忽略（N），并且從高到低分別賦值5-1，具體參照表2。

威脅可能性屬性非常難以度量.它依賴于具體的資產、弱點。并且這兩個屬性都和時間有關系。在威脅評估過程中，評估者的專家經驗非常重要。

2 結 語

目前，信息系統已經被廣泛運用到中小企業的日常管理工作中，對其的重視程度也越來越高。對中小企業來說，定期進行信息安全風險評估是信息安全工作得以順利實施的有效保障，通過有效的信息安全風險評估方法則是科學合理地開展信息安全風險評估的前提條件。因此，新形勢下中小企業的信息安全風險評估工作必須要做到與時俱進，不斷創新，從而以適應快速發展的社會需求。

篇3

1、員工日常危險源辨識風險評估工作是風險預控安全管理體系的基礎。

1.1、危險源、危險源辨識的概念

1.1.1、危險源的定義

可能造成人員傷亡或疾病、財產損失、工作環境破壞的根源或狀態。

1.1.2、危險源的理解

危險源通常理解為能量物質，或者能量物質的載體。它的實質是具有潛在危險的源點或部位，是爆發事故的源頭，是能量、危險物質集中的核心，是能量從那里傳出來或爆發的地方。對于環境而言，危險源又常常被稱作環境因素。通俗的講就是危險危害因素是從哪里產生的，是什么東西，處于一種什么樣子。

例如：洗煤廠洗煤用的水就是一種能量物質，它本身就是一種危險源，淋到電氣設備上就會造成設備損壞或人員傷亡；風包是一種能量物質的載體，它本身也是一種危險源，超壓就會爆炸；工作場所的煤塵也是一種危險源，得不到治理超標會使是人致病或發生爆炸。

1.2、風險評估的概念

風險評估是在危險源辨識的基礎上，評估危險源發生風險的可能性以及可能造成的損失程度。內容包括、風險、風險后果、風險類型，風險等級、事故類型、危險源與風險的關系，風險評估工作流程。

危險源風險評估內容

風險評估的具體內容包括三個方面：首先要確定事故在一定時間內發生的可能性，即概率的大小；其次要估計一旦事故發生，可能造成損失的嚴重程度。最后，根據事故發生的可能性及損失的嚴重程度估計總期望損失的大小，確定風險等級。

1.3、危險源辨識風險評估重要意義

神東各選煤廠都是現代化程度較高，設備臺數多，生產量大，各崗位員工勞動強度大，承包設備多的特點，在日常生產巡查、檢修過程對于人員的安全防范是選煤廠安全工作中的重中之重。員工能持續做好日常危險源辨識、風險評估工作，是增強員工日常作業安全防范意識，提高風險預控能力，落實各崗位員工安全防護措施，保障員工安全作業的基礎。

2、選煤廠員工日常工作危險源辨識風險評估存在的問題及原因分析

2.1、日常工作危險源辨識風險評估存在的問題

近年來，神東公司提出了危險源辨識和風險評估的理念和方法，對神東各選煤廠安全生產起到了極大地促進作用。但部分員工對危險源辨識和風險評估方法掌握不好，經常只停留在班前會上，辨識和評估不到位、不全面。在作業現場很少進行針對性的危險源辨識和風險評估，作業過程中常常把危險源辨識和風險評估忘在腦后。更沒有在作業完畢后回頭總結危險源辨識和風險評估是否到位，沒有吸取經驗教訓，也沒有對某項作業進行全員系統地危險源辨識和風險評估。這樣會導致作業現場人員和設備不安全因素的增加。

2. 2、選煤廠員工日常危險源辨識工作中存在問題的原因分析

2.2.1、部分員工安全意識淡薄、思想麻痹，有嫌麻煩圖省事的心理。這些員工也是不安全行為發生的重點人群。

2.2.2、部分崗位技能差、文化素養低員工，新員工、勞務工、駐廠服務隊等不穩定人員。這些員工的自身問題，危險源辨識不熟悉。

2.2.3、對員工危險源、風險評估知識的培訓不到位，廠部及車間管理人員沒有作好對員工的危險辨識方法的引導，員工的危險源辨識會無頭緒，沒有讓員工認真理解危險源風險評估的方法。員工無法與自己的的實際工作緊密結合應用。

2.2.4、日常員工危險源辨識工作未建立有效的考核管理機制。這樣缺少管理激勵機制，上級部門及車間管理人員對員工危險源管控、現場落實情況監督、管理不到位。

3.如何開展好選煤廠員工日常危險源辨識風險評估工作，提高員工安全防范能力

針對員工在危險源辨識及風險評估工作中的不足，安全管理人員及車間管理人員如何組織好、管理好車間、班組員工風險源辨識及風險評估工作，充分調動員工自主安全管理的積極性。如何能切合每個車間、班組、崗位實際工作，能夠有針對性開展好風險源辨識及風險評估工作，進行如下分析、探討。

3.1、危險源辨識的內容

危險源辨識的內容主要是從人、機、環、管四個方面分別考慮，這樣既能夠保證危險源辨識結果的全面性和合理性，且方便對危險源進行分類控制和管理。危險源辨識還需要考慮三種狀態及時態。三種狀態分別指正常狀態、異常狀態、緊急狀態；三種時態分別指過去、現在和將來。由于危險源具有潛在性，所以辨識危險源必須考慮各種情況下可能出現的不安全因素，同時還要考慮過去曾發生過什么事故或事故，從中吸取教訓，找出事故的原因，考慮目前系統中存在或潛在什么不安全因素。

3.2、危險源辨識的方法

危險源辨識常用的方法可分為兩大類：即直接經驗分析法和系統安全分析法。常用的直接經驗分析法主要包括：工作任務分析法；直接詢問法；現場觀察法；查閱記錄法等。常用系統安全分析法主要包括：安全檢查表法、事故樹分析等。

對于車間崗位來說，辨識危險源比較實用的方法是工作任務分析法。

3.3、針對各崗位危險源辨識及風險評估方法

崗位危險源一般指生產崗點和作業場所潛在的對作業人員有直接危害的人、機、環不安全因素和管理缺陷。

崗位危險源辨識與分析原則上采用工作任務分析法，辨識時車間班組按工作場所進行。它可以針對所有的工作任務以及每項任務的具體工序，對照相關的規程、條例、標準，并結合實際工作經驗，分析每道工序中可能存在的危險源。

對辨識出的危險源按人、機、環、管進行分類。風險評估原則上采用風險矩陣評價法進行，評估結果應按照特大、重大、中等、一般、低五個級別進行分類。一般按照如下步驟進行：

（一）工作任務梳理。從崗位入手，識別崗位的常規任務和非常規任務。

（二）工序梳理。將工作任務分解為具體工序步驟，一般從準備、執行和收尾3個階段分解。

（三）識別每個步驟中的危害與風險。按照任務執行中所暴露的環境、設備和行為，確定潛在的危險。

（四）認定風險類型。按照危險源隸屬的系統，分人、機、環、管四類。

（五）評估風險后果描述。判定辨識出的潛在危險源可能導致人員傷害、設備或設施損失的情況。

（六）確定可能導致的事故類型。

按照《企業職工傷亡事故分類》（GB6441―1986）分為20類，即：

1.物體打擊； 2.車輛傷害； 3.機械傷害； 4.起重傷害；

5.觸電； 6.淹溺； 7.灼燙； 8.火災；

9.高處墜落； 10.坍塌； 11.冒頂片幫； 12.透水 ；

13.放炮； 14.瓦斯爆炸； 15.火藥爆炸； 16.鍋爐爆炸；

17.容器爆炸； 18.其他爆炸； 19.中毒和窒息；20.其他傷害。

（七）評估風險等級。結合工作實際情況，確定危害的嚴重性，通過下述方法計算風險等級：

風險等級=可能性×嚴重性

風險矩陣法： 圖略

員工風險評估舉例：

更換重介淺槽刮板

1. 停電、驗電、上鎖、作業前工器具要準備到位，防止出現誤起設備傷人。風險類型：人

2. 拆卸刮板：

2.1人員站立位置合適，以防在拆卸的過程當中摔倒受傷。風險類型：人

2.2拆卸刮板時作業人員相互要配合到位，防止在松動螺栓、防止刮板時造成人員傷害。

風險類型：人

2.3拆卸過程中嚴禁用大錘用力敲擊刮板與鏈條連接處，以防損壞鏈條的相關部件。風險類型：機

2.4.現場照明不足，導致人員作業時由于光線暗造成人員意外傷害。

風險類型：環

3. 裝配刮板

如拆卸刮板進行逐一辨識

4. 清理現場

4.1工器具或者其他物件清理不到位，導致刮板運行過程中出現卡阻等現象。風險類型：機

5. 送電試車

5.1試車時，人員沒有全部撤出造成人員傷害。風險類型：人

5.2試車時安全鏈沒有解開造成刮板鏈拉斷或者電機過熱動作等。

風險類型：機

風險等級：F1×H5=5一般（由于每個人作業的安全考慮程度不同，風險等級可根據自己的實際情況進行確定。）

（八）確定風險管理對象。找出可能產生或存在風險的主體。根據危險源辨識劃分的風險類型確定相應的管理對象。風險類型為“人”或“管”，管理對象為對應崗位人員；風險類型為“機”，管理對象為對應的設備、設施、工器具；風險類型為“環”，管理對象為對應的作業環境影響因素。

（九）制定風險管理標準。針對管理對象制定以消除或控制風險的準則，即要求做到什么程度。要符合相關法律法規、技術標準要求。

（十）明確管理人員。含主要責任人（管理對象或對象管理者）和直接管理人（主要責任人的直接上級）

（十一）制定風險管理措施。使管理標準得以落實的手段。要符合相關制度的要求，且具體、簡潔、可操作性強。

3.5、全方位、全過程開展好車間班組員工的危險源辨識風險評估工作。

車間、班組主要采用非正式風險評估方法（對于暫時不能消除風險的危險源要納入正式風險評估成果表中），至少包括班前、作業前和作業中動態組織的風險評估；必要時要保留記錄。評估方法、記錄形式不做限制，一般按如下方式開展：

3.5.1、班前風險評估

班前風險評估是指召開班前會過程中或之前，根據現場反饋信息及當班任務進行的安全風險評估。實踐中，要與班前會工作任務布置、規程措施貫徹相結合。每班班前會，帶班車間主任及班組長要組織當班人員對本班工作任務進行認真分析和風險評估，對異常情況（發現新危險源或已辨識出的危險源管理標準與措施不能滿足管控需要）必須明確現行的管控措施。班前會可采用靈活多樣的方法進行危險源辨識風險評估，提高員工的積極性，如先讓作業人員對自己工作任務危險源風險評估，其他人員及班組長車間管理人員強調補充，進行危險源辨識風險評估評比活動等。

3.5.2作業前風險評估

作業前風險評估是指生產作作業前風險評估是指班前會后、上崗前及交接班過程中組織的安全風險評估。實踐中要與現場交接班相結合；交接班除交待工作任務外，必須將存在的主要風險交待清楚。作業前，帶班領導、車間主任及班組長要組織每個崗位人員對所在崗位作業環境、設備設施的安全狀況進行風險評估，并落實管控措施。

3.5.3、作業過程中風險評估。

作業過程中，根據現場人、機、環管狀態實施對現場安全狀態進行的評價。實踐中要與作業規程、操作規程、安全技術措施、標準化作業流程的執行相結合，逐步培育員工“五思而行”的習慣。即：

1.本項工作有什么風險？不知道不去做；

2.是否具備做此項工作的技能？不具備不去做；

3.做本項工作環境是否安全？不安全不去做；

篇4

一、信用風險評估方法的演進

（一）傳統信用風險評估階段

1．專家評價法

專家評價法主要是信貸人員通過對可能影響借款人還本付息的主要因素的分析，來判斷衡量貸款風險。目前在信貸風險管理實踐中已經逐漸形成了一些常用的方法，其中最常用的是6C法。6C是影響信貸風險的6項主要因素，即品格、資本、償付能力、抵押品、經營環境、和事業的連續性。

2．財務比率分析法

財務比率分析法是指利用企業的財務報表，計算并分析其發展潛力、償債能力、運營能力等方面的財務比率，根據各行業各地區確定的財務比率標準值對企業的財務比率打分，并給予每個財務比率一定的權重，最后匯總得分，并將分值與一定的違約率對應起來。財務比率分析法此方法的優點是計算簡便、對比清晰、計算結果直觀。

3．信用評級分級法

信用評級分級法是金融機構在美國貨幣管理辦公室（OCC）最早開發的評級系統基礎上拓展而來的。該方法將貸款分為五級：正常貸款、關注貸款、次級貸款、可疑貸款和損失貸款。

（二）單一貸款信用風險評估階段

1．多變量信用風險評估模型

多變量信用風險評估模型是以特征財務指標為解釋變量,運用數量統計方法推導而建立起的計量經濟模型。銀行利用該模型可以預測財務危機及違約事件發生的可能性,及早發現信用危機信號,并據此做出信貸決策。

2．神經網絡模型

神經網絡預測模型是一種動態非統計模型，是對生理上真實的人腦神經網絡的結構和功能及基本特征進行理論抽象、簡化和模擬而構成的一種信息系統，具有高度的計算能力、自學能力和容錯能力。

3．死亡率模型

1989 年，Altman 和 Asquith、Mullins 和 Wolf 分別使用保險精算方法計算出不同信用等級債券的邊際和累計死亡率表（即違約率），后來將這一方法擴展到貸款違約率的計算。

（三）現代信用風險評估階段

1． 信用計量模型（Credit Metrics）

1997 年，J.P Morgan 聯合當時世界一流銀行和 KMV公司共同開發出Credit Metrics模型，采用二階段法度量信用風險。目前Credit Metrics模型已經成為當今世界最為著名的信用風險度量模型之一。該模型的突出優勢是適用范圍非常廣泛，包括傳統的商業貸款、固定收益證券、應收賬款等。

2．基于期權理論的KMV信用監控模型

KMV模型又稱為預期違約率模型（EDF），其理論基礎是默頓的期權定價理論。該模型把違約債務看作企業的或有權益,把所有者權益視為看漲期權,將負債視為看跌期權，而把公司資產（股票加債務）作為標的資產。

二、信用風險評估方法對我國商業銀行的影響

目前我國商業銀行采用的信用風險評估方法還處于比較初級的階段，主要依靠一些傳統的信用風險評估方法，如專家評價法、財務比率評級法及信用評級法。這些傳統的信用風險評估方法存在諸多缺陷，概而言之，主要表現在以下三個方面：

1．主觀性較強，風險揭示不足。目前，我國商業銀行信用風險評估主要采取信用評級法和專家評價法相結合的方式。信用評級法雖然能夠為風險評估提供了統一的標準，但存在指標的選擇缺乏理論基礎，風險測量主觀因素過多等問題。

2．靜態分析多，缺乏對信用風險的動態評估。我國商業銀行在對企業進行信用評級時，大多數都側重于一些財務指標的分析，而往往忽視財務信息的及時性和企業的發展前景在信用評級中的作用，這使得銀行的信用風險評估缺乏動態性和實時性，風險評估的效果將會大大折扣。

3．局部分析多，信用風險評估缺乏全局性。我國商業銀行在提供貸款測算信貸風險時，往往關注的是某一筆貸款的信用風險，而沒有從資產組合綜合管理的角度對信用風險進行測定，沒有考慮各筆貸款之間的信用風險的相關性，這使得我國商業銀行在貸款組合方面的信用風險管理工作很難開展。

三、改進我國商業銀行信用風險評估方法的建議

我國商業銀行必須順應這一發展趨勢，盡快建立適用于自身的現代信用風險評估模型。為此，必須在以下幾方面多下功夫：

1．盡快建立起信用風險基礎數據庫，強化數據管理。我國銀行一方面要抓緊建立和完善關于資產負債狀況、現金流量、管理水平及經濟周期的影響等方面信息的客戶基礎數據庫，另一方面要建立和完善違約損失的時間序列數據庫，為采用先進模型進行信用風險評估提供完善的數據統計基礎。

2．建立和完善內部信用評級體系，為現代信用風險評估方法的應用創造條件。目前，我國商業銀行內部信用評級體系尚不成熟，使得一些先進信用評級方法的使用受到諸多限制，因此，我國商業銀行必須建立和完善銀行內部的信用評級體系。

3．加快信用風險管理人才隊伍建設，為現代信用風險評估方法的應用提供有力的人力資源支持。目前，人才短缺是我國商業銀行在應用先進信用風險評估方法上面臨的一大瓶頸，因此，為了通過提高信用風險管理質量，必須盡快培養一批高素質的專業風險管理人才。

參考文獻：

篇5

風險評估就是在充分掌握資料的基礎之上，采用合適的方法對已識別風險進行系統分析和研究，評估風險發生的可能性（概率）、造成損失的范圍和嚴重程度（強度），為接下來選擇適當的風險處理方法提供依據。根據實際需要的不同可以對風險進行定性分析和定量分析。定性分析一般是根據風險度（重要程度）或風險大小（概率×強度）等指標對風險因素進行優先級排序，為進一步分析或處理風險提供參考，常用方法有專家打分法等。定量分析則是將體現風險特征的指標量化，加深對風險因素的認識，有助于風險管理者采取更具針對性的對策和措施，常用方法有敏感性分析、蒙特卡羅分析等。下面介紹常用的一些風險評估方法。

一、專家調查法

在風險識別的基礎之上，請專家對風險因素的發生概率和影響程度進行評價，再綜合整體風險水平進行評價。該方法簡單易行，可以在采用德爾菲法進行風險識別時同時進行，節約成本和時間，缺點是主觀性強，依賴于專家水平。

二、蒙特卡洛模擬法

蒙特卡洛模擬法又稱統計試驗法或隨機模擬法，其原理是將項目目標變量（風險評價指標）和各個風險變量綜合在一個數學模擬模型內，每個風險變量用一個概率分布來描述，然后利用計算機產生隨機數（或偽隨機數），并根據隨機數在各個風險變量的概率分布中取值，算出目標變量值，經過多次運算即可得出目標變量的期望值、方差、概率分布等指標，繪制累計概率圖，供決策者參考。

風險變量的確定，一般采用前述的風險識別方法，如果風險因素較多，可以先進行敏感性分析，選擇敏感的風險因素作為風險變量。風險變量的概率分布描述是進行模擬分析的基礎，常用的有正態分布、β分布、三角分布、梯形分布、階梯分布等，銷售量、售價、產品成本等變量多采用正態分布，工期、投資等變量多采用三角分布描述。對有歷史數據的風險變量可根據數據做統計分析，估計其概率分布，對沒有歷史數據的風險變量，可以采用專家調查法確定變量的概率分布。

該法由法國數學家John.ron.neuman創立，由于其依賴的概率統計理論與賭博原理類同，因此以歐洲著名賭城摩納哥首都Monte Carlo命名。該方法的優點是使用計算機模擬項目的自然過程，比歷史模擬方法成本低、效率高，結果相對精確；可以處理多個因素非線性、大幅波動的不確定性，并把這種不確定性的影響以概率分布形式表示出來，克服了敏感性分析的局限性。不足之處是依賴于特定的隨機過程和選擇的歷史數據，不能反映風險因素之間的相互關系，需要有可靠的模型，否則導致錯誤。

三、計劃評審技術（PERT）

該方法是用網絡圖來體現項目中各項活動的進度和相互之間的關系，確定關鍵路徑，計算總工期及概率，再綜合考慮資源因素，得到最佳的項目計劃方案。PERT主要用于對項目的進度管理，評價進度和費用方面的風險。它適用于評價缺乏歷史經驗資料的科研或產品研發項目風險以及與進度相關的項目風險。由于該方法的前提是假設項目每項活動的時間服從正態分布或β分布，總工期和關鍵路徑都具有隨機性，但是隨著關鍵路徑的確定，這一假設就失去意義，因此具有一定的缺陷。

四、敏感性分析法

敏感性分析法是指在假定其他風險因素不變的情況下，評估某一個（或幾個）特定的風險因素變化對項目目標變量的影響程度，確定它的變動幅度和臨界值，計算出敏感系數，據此對風險因素進行敏感性排序，供決策者參考。這種方法應用廣泛，常用于項目的可行性研究階段，有助于發現重要的風險因素，具體又可分為單因素敏感性分析和多因素敏感性分析。其缺點在于只能體現風險因素的強度而不能反映發生概率，也不能反映眾多風險因素同時變化時對項目的綜合影響。

五、決策樹法

決策樹法是指利用圖解的形式，將風險因素層層分解，繪制成樹狀圖，逐項計算其概率和期望值，進行風險評估和方案的比較和選擇。一棵簡單的決策樹包括決策節點、狀態節點和結果節點，決策節點與狀態節點之間為方案分支，狀態節點引出的分支為狀態分支，決策節點上標注最終方案的收益期望值，方案分支標注方案名稱，狀態節點標注某個行動方案收益期望值，狀態分支標注狀態名稱和概率，結果節點標注收益值。一般會求出目標變量在所有風險因素所有概率組合下的期望值，再畫出概率分布圖，因此計算量與風險因素和變化的數量成指數關系，并且需要有足夠的有效數據做支撐。這種方法層次清晰，不同節點面臨的風險及概率一目了然，不易遺漏，能夠適應多階段情形下的風險分析，但用于大型復雜項目時工作量較大，也不適合用于缺乏類似客觀數據的項目。

六、影響圖法

影響圖是指由風險結點集合和反映風險關系的有向弧集合構成的無環有向圖，它是在決策樹基礎之上發展起來的圖形描述工具，包含了對風險變量相關性的描述，既可以表示變量之間的概率依賴關系，又可用于計算，能夠有效地把決策問題轉化成模型，是決策問題定性描述和定量分析的有效工具。其優點是概率估計、備選方案、決策者偏好等資料完整；圖形直觀、概念明確；計算規模隨著風險因素個數呈線性增長。缺點是需要獲取大量的概率和效用值，對于復雜問題建模困難。

七、模糊綜合評價法

模糊理論是美國加州大學伯克力分校盧菲特?澤德教授于1965年首先提出的一種定量表達工具，用來表達某些無法明確定義的模糊性概念。事物的某些狀態或屬性如男或女，可以明確區分，但是如漂亮或不漂亮、高或矮之類帶有主觀意識的屬性，則很難以明確的標準加以區分，模糊理論接受自然界模糊性現象存在的事實，并將其量化，進行相關研究。

風險也具有模糊性，主要表現為風險的強度或大小很難進行明確的界定。模糊綜合評價法將項目風險大小用模糊子集進行表達，利用隸屬度及模糊推理的概念對風險因素進行排序，以改進的模糊綜合評價法為基礎，采用層次分析法（AHP）構建風險遞階層次結構，采用專家調查法確定各層次內的風險因素指標權重，逐級進行模糊運算，直至總目標層，最終獲得項目各個層級以及整體的風險評估結果。該方法將風險的定性和定量分析相結合，對于難以量化的風險因素如法律變動，也能進行有效分析，不依賴絕對指標，避免標準不合理導致的偏差。缺點是專家的主觀偏見和能力水平可能會影響結果，對隸屬度變化時評價結果改變的波動性利用不夠。

八、風險矩陣法

該方法又稱風險值法，1998年由Paul R等人提出。該方法將風險事件發生的概率和影響程度分級評分，然后分別作為矩陣的行和列形成風險矩陣，將風險概率和風險后果估計值（0～1）相乘得到風險值，進而按照風險事件在矩陣中的位置作出評估。該方法使用簡單快捷。缺點是計算風險概率往往需要歷史數據；由于風險的隨機性和影響的模糊性，易產生風險結。

九、人工神經網絡技術(ANN)

該方法是模仿生物大腦結構和功能而形成的一類信息處理系統，最先由美國生物學家Warren Mcculloch和數學家Walter Pitts于1943年提出，經過幾十年的發展已經成為多學科綜合的前沿學科。人工神經網絡的基本結構單元是神經元，它一般是多個輸入、一個輸出的非線性單元，按照一定的層次結構排列，每層神經元以加權方式與其他層次上的神經元連接構成神經網絡。根據連接方式的不同，目前已有30多種神經網絡結構，最常用的是誤差反向傳播的多層前饋式網絡，即BP網絡。人工神經網絡技術運作模式是建立神經元網絡連接，通過學習規則或自組織等過程建立相應的非線性數學模型，經過多次信息輸入和輸出比對，并不斷進行修正，使輸出結果與實際值之間差距不斷縮小。優點：具有自學習、自組織適應能力和強容錯性等特性；避免了大量的繁瑣計算，使評價工作更簡便易行；主要是通過對以往的樣本數據進行學習，獲取經驗，弱化了確定各因素權重時的人為因素。缺點：選擇網絡結構不當會影響評價結果；輸出結果不能體現單個風險因素的重要程度；泛化能力差，不適用于多目標的評價過程，項目具有獨特性、一次性的特點。

十、灰色評價方法

灰色系統理論是我國著名學者鄧聚龍于1982年提出的，他根據信息的清晰程度，將系統分為白色、黑色和灰色，白色系統信息完全可見，黑色系統信息未知，灰色系統介于兩者之間，分析過程中可充分利用已知信息將灰色系統的灰色性白化，分析方法有灰色聚類法、灰色關聯分析法等。灰色關聯分析是根據因素之間發展態勢的相似或者相異程度來衡量因素間關聯度的方法。灰色評價方法的優點：對樣本量要求不高，不要求樣本服從任何分布，可以有效地克服復雜系統的層次復雜性、結構關系的模糊性、動態變化的隨機性、指標數據的不完全性和不確定性，排除認為影響，數據不必進行歸一化處理，可靠性強。缺點：樣本數據具有時間序列特性，綜合評價結果具有“相對評價”的缺點，需要確定分辨率，其選擇標準尚無一個合理的標準。

對項目風險定性和定量分析，為選擇最佳風險處理手段提供了可靠的依據。上述風險評估方法有各自的特點和優勢，有的方法以全面、精確為特點，有的方法以簡單易用為優勢，一些方法可以同時處理風險識別和風險評估，各方法之間也有相互交叉、相互引用的情況，在實際應用中應當根據掌握資料程度、項目實際情況具體選擇。1992年英國里丁大學Simister教授對英國項目管理協會的37名會員進行風險評估技術應用方面的調查，結果顯示盡管有很多新的風險評估方法，但傳統的調查打分法、蒙特卡洛模擬和計劃評審法使用率達70%。據統計，由于資料稀缺和時間緊迫，75%的項目經理傾向于采用專家調查打分，將風險評估主觀量化。未來項目風險管理將更加注重一體化和動態持續性，風險的量化分析越來越受到重視，隨著傳統風險評估方法不斷改進，新方法的不斷完善，風險評估將會使項目管理更加科學有效。

（作者單位：重慶大學建設管理與房地產學院）

主要參考文獻

[1]廖詩娜.PPP項目定量風險評估方法比較[J].合作經濟與科技，2010.6.

[2]楊義燦.投資項目評價的理論、方法及應用研究[D].南京: 河海大學，2000.

[3]Paul R，Garvey PR，Lansdowne ZF. Risk matrix:an approach for identifying，assessing，and ranking program risks[J].Air Journal of Logistics，1998.25.

篇6

隨著計算機信息系統在各軍工企業的科研、生產和管理的過程中發揮巨大作用，部分單位提出了軍工數字化設計、數字化制造、異地協同設計與制造等概念，并開展了ERP、MES2～PDM等系統的應用與研究。這些信息系統涉及大量的國家秘密和企業的商業秘密，是軍工企業最重要的工作環境。因此各單位在信息系統規劃與設計、工程施工、運行和維護、系統報廢的過程中如何有效的開展信息系統的風險評估是極為重要的。

一、風險評估在信息安全管理體系中的作用

信息安全風險評估是指依據國家風險評估有關管理要求和技術標準，對信息系統及由其存儲、處理和傳輸的信息的機密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。風險評估是組織內開展基于風險管理的基礎，它貫穿信息系統的整個生命周期，是安全策略制定的依據，也是ISMS（Information Security Management System，信息安全管理體系）中的一部分。風險管理是一個建立在計劃（Plan）、實施（D0）、檢查（Check）、改進（Action）的過程中持續改進和完善的過程。風險評估是對信息系統進行分析，判斷其存在的脆弱性以及利用脆弱性可能發生的威脅，評價是否根據威脅采取了適當、有效的安全措施，鑒別存在的風險及風險發生的可能性和影響。

二、信息系統安全風險評估常用方法

風險評估過程中有多種方法，包括基于知識（Knowledge based）的分析方法、基于模型（Model based）的分析方法、定性（Qualitative）分析和定量（Quantitative）分析，各種方法的目標都是找出組織信息資產面臨的風險及其影響，以及目前安全水平與組織安全需求之間的差距。

1、基于知識的分析方法

在基線風險評估時采用基于知識的分析方法來找出目前安全狀況和基線安全標準之間的差距。基于知識的分析涉及到對國家標準和要求的把握，另外評估信息的采集也極其重要，可采用一些輔的自動化工具，包括掃描工具和入侵檢測系統等，這些工具可以幫助組織擬訂符合特定標準要求的問卷，然后對解答結果進行綜合分析，在與特定標準比較之后給出最終的報告。

2、定量分析方法

定量分析方法是對構成風險的各個要素和潛在損失的水平賦予數值或貨幣金額，當度量風險的所有要素（資產價值、威脅頻率、弱點利用程度、安全措施的效率和成本等）都被賦值，風險評估的整個過程和結果就都可以被量化。定量分析就是從數字上對安全風險進行分析評估的一種方法。定量分析兩個關鍵的指標是事件發生的可能性和威脅事件可能引起的損失。

3、定性分析方法

定性分析方法是目前采用較為廣泛的一種方法，它具有很強的主觀性，需要憑借分析者的經驗和直覺，或國家的標準和慣例，為風險管理諸要素的大小或高低程度定性分級。定性分析的操作方法可以多種多樣，包括討論、檢查列表、問卷、調查等。

4、幾種評估方法的比較

采用基于知識的分析方法，組織不需要付出很多精力、時間和資源，只要通過多種途徑采集相關信息，識別組織的風險所在和當前的安全措施，與特定的標準或最佳慣例進行比較，從中找出不符合的地方，最終達到消減和控制風險的目的。

理論上定量分析能對安全風險進行準確的分級，但前提是可供參考的數據指標是準確的，事實上隨著信息系統日益復雜多變，定量分析所依據的數據的可靠性也很難保證，且數據統計缺乏長期性，計算過程又極易出錯，給分析帶來了很大困難，因此目前采用定量分析或者純定量分析方法的比較少。

定性分析操作起來相對容易，但也存在因操作者經驗和直覺的偏差而使分析結果失準。定性分析沒有定量分析那樣繁多的計算負擔，但卻要求分析者具備一定的經驗和能力。定量分析依賴大量的統計數據，而定性分析沒有這方面的要求，定量分析方法也不方便于后期系統改進與提高。

本文結合以上幾種分析方法的特點和不足，在確定評估對象的基礎上建立了一種基于知識的定性分析方法，并且本方法在風險評估結束后給系統的持續改進與提高提供了明確的方法和措施。

三、全生命周期的信息系統安全風險評估

由于信息系統生命周期的各階段的安全防范目的不同，同時不同信息系統所依據的國家標準和要求不一樣，使風險評估的目的和方法也不相同，因此每個階段進行的風險評估的作用也不同。

信息系統按照整個生命周期分為規劃與設計、工程實施、運行和維護、系統報廢這四個主要階段，每個階段進行相應的信息系統安全風險評估的內容、特征以及主要作用如下：

第一階段為規劃與設計階段，本階段提出信息系統的目的、需求、規模和安全要求，如信息系統是否以及等級等。信息系統安全風險評估可以起到了解目前系統到底需要什么樣的安全防范措施，幫助制定有效的安全防范策略，確定安全防范的投入最佳成本，說服機構領導同意安全策略的完全實施等作用。在本階段標識的風險可以用來為信息系統的安全分析提供支持，這可能會影響到信息系統在開發過程中要對體系結構和設計方案進行權衡。

第二階段是工程實施階段，本階段的特征是信息系統的安全特征應該被配、激活、測試并得到驗證。風險評估可支持對系統實現效果的評價，考察其是否滿足要求，并考察系統運行的環境是否是預期設計，有關風險的一系列決策必須在系統運行之前做出。

第三階段是運行和維護階段，本階段的特征是信息系統開始執行其功能，一般情況下系統要不斷修改，添加硬件和軟件，或改變機構的運行規則、策略和流程等。當定期對系統進行重新評估時，或者信息系統在其運行性生產環境中做出重大變更時，要對其進行風險評估活動，了解各種安全設備實際的安全防范效果是否有滿足安全目標的要求；了解安全防范策略是否切合實際，是否被全面執行；當信息系統因某種原因做出硬件或軟件調整后，分析原本的安全措施是否依然有效。

第四階段是系統報廢階段，可以使用信息系統安全風險評估來檢驗應當完全銷毀的數據或設備，確實已經不能被任何方式所恢復。當要報廢或者替換系統組件時，要對其進行風險評估，以確保硬件和軟件得到了適當的報廢處置，且殘留信息也恰當地進行了處理，并且要確保信息系統的更新換代能以一個安全和系統化的方式完成。對于是信息系統的報廢處理時，應按照國家相關保密要求進行處理和報廢。

四、基于評估對象，知識定性分析的風險評估方法

1、評估方法的總體描述

在信息系統的生命周期中存在四個不同階段的風險評估過程，其中運行和維護階段的信息系統風險評估是持續時間最長、評估次數最多的階段，在本階段進行安全風險評估，首先應確定評估的具體對象，也就是限制評估的具體物理和技術范圍。在信息系統當中，評估對象是與信息系統中的軟硬件組成部分相對應的。例如，信息系統中包括各種服務器、服務器上運行的操作系統及各種服務程序、各種網絡連接設備、各種安全防范設備和產品或應用程序、物理安全保障設備、以及維護管理和使用信息系統的人，這些都構成獨立的評估對象，在評估的過程中按照對象依次進行檢查、分析和評估。通常將整個計算機信息系統分為七個主要的評估對象：（1）信息安全風險評估；（2）業務流程安全風險評估；（3）網絡安全風險評估；（4）通信安全風險評估；（5）無線安全風險評估；（6）物理安全風險評估；（7）使用和管理人員的風險評估。

在對每個對象進行評估時，采用基于知識分析的方法，針對互聯網采用等級保護的標準進行合理分析，對于軍工企業存在大量的信息系統，采用依據國家相關保密標準進行基線分析，同時在分析的過程中結合定性分析的原則，按照“安全兩難定律”、“木桶原理”、“2/8法則”進行定性分析，同時在分析的過程中，設置一些“一票否決項”。對不同的評估對象，按照信息存儲的重要程度和數量將對象劃分為“高”、“中”、“低”三級，集中處理已知的和最有可能的威脅比花費精力處理未知的和不大可能的威脅更有用，保障系統在關鍵防護要求上得到落實，提高信息系統的魯棒性。

2、基于知識的定性分析

軍工企業大多數信息系統為信息系統，在信息系統基于知識分析時，重點從以下方面進行分析：物理隔離、邊界控制、身份鑒別、信息流向、違規接入、電磁泄漏、動態變更管理、重點人員的管理等。由于重要的信息大多在應用系統中存在，因此針對服務器和用戶終端的風險分析時采用2/8法則進行分析，著重保障服務器和應用系統的安全。在風險評估中以信息系統中的應用系統為關注焦點，分析組織內的縱深防御策略和持續改進的能力，判別技術和管理結合的程度和有效性并且風險評估的思想貫穿于應用的整個生命周期，對信息系統進行全面有效的系統評估。在評估過程中根據運行環境和使用人群，判別技術措施和管理措施互補性，及時調整技術和管理措施的合理性。在技術上無法實現的環節，應特別加強分析管理措施的制定和落實是否到位和存在隱患。

篇7

項目融資；風險評估；方法

項目融資中的風險評估存在不確定性，這些不確定性就是風險評估的難點。只有對這些不確定性因素進行風險分析，并對這些風險進行綜合分析，進而達到最后對項目融資中的風險有科學的處理方法，進而使項目順利完成。

1項目融資中風險評估的定義概念

項目融資中的風險評估就是對項目融資過程中的不確定因素和風險因素進行分析整合后，得出的綜合性的風險評估。項目融資中的風險評估既能對整個項目進行前對所要涉及的風險因素給出不同的影響評價，又能為如何規避和處置這些預計到的風險提出相應的對策。從整體上來說，項目融資中的風險評估就是為了保證項目的順利進行，同時對于后期所要發生的風險進行評估并提出解決方案。

2項目融資中風險評估的基本步驟

在項目融資中的風險評估經驗從一定程度上可以降低項目風險的概率，應用正確的風險評估步驟，可以提升提升項目融資中風險評估的成功率。作者將項目融資中風險評估的基本步驟總結如下：

（1）評估所有方法。在評估的過程中，每個影響因素和方法都要考慮到。只有這樣才能保證，在評估中不會有因素影響項目融資中風險評估的準確度。

（2）考慮風險態度。對于每個風險都要有慎重考慮的態度，態度會影響整個風險評估。由于人為的原因，每個人進行風險評估時所考慮的都不太一樣，主要是對影響因素的不同考慮，對不同的數據的重視程度也不一樣，這就使得考慮風險的態度成為影響整個項目融資中風險評估的重要方面。

（3）考慮風險的特征。對于每個發現的風險都要進行詳細深入的剖析，以求達到對每個識別風險的控制。

（4）建立測量系統。對于風險的評估要有相應的測量系統與之配合，建立測量系統從一定程度上可以根據以往的經驗進行系統性預測。在對已經認識的風險可以做到依據經驗進行定量或定性的測量評估。

（5）解釋結果。對于項目融資中的風險評估，在進行測量分析后要對測量的結果進行解釋。解釋不單單是為了對數據有更深刻的了解，更要對數據進行定性或定量的處理。通過解釋結果，不但能讓評估人員對測量數據有深入的了解，更能在解釋數據時，對未來要發生的風險進行推斷。

（6）做決策。做決策可以說是整個風險評估中的最后階段，對前面進行分析估計的風險進行對比做出決策，很大程度上取決以實際的情況。但我們不能排除每個決策者所獨有的見解，對于風險評估的決策，決策者的個人見解對決策也有影響。最終的決策對風險的留去，有著十分重要的影響。

3項目融資中風險評估可采用的方法

（一）定性風險評估（1）歷史資料法所謂歷史資料法，就是根據在以往項目融資中風險評估的歷史記錄，通過把現在項目融資中風險評估數據與歷史資料中的數據對比，進而的出相應的風險評估數值。從一定程度上來說，歷史資料法就是依靠以往的風險評估經驗進行現在的風險評估。這種方法有一定的作用，但有時受到歷史資料的拘束，如果沒有相應的歷史資料，這種方法就無法運用。一味的使用歷史資料法也會導致很多問題，畢竟很多歷史資料都不是十分的準確，必然會導致結果又一定的偏差。（2）理論概率分布法通過對以往項目的風險評估，可以綜合得出一定的理論概率，這種理論概率就相當于不同項目風險的比例。如果決策者沒有十分充足的項目管理經驗，又對歷史資料法運用的不是十分得心應手，就要對風險評估進行理論的概率分布修正。通過運用概論修正，達到風險評估理論上精確的目標。（3）風險事件后果的估計對于項目融資風險評估，不能僅僅進行風險評估后就結束了。對于項目融資后的風險事件估計也不能缺少，從一定程度上來說，甚至比風險評估更為重要。風險事件后的估計不但能衡量風險的各方面要素，更能確定風險評估的正確性和有效性。通過數據記錄，為以后更好的使用歷史資料法奠定基礎。

（二）定量風險評估定量風險評估包括訪談法、盈虧平衡分析、敏感性分析、決策樹分析和非肯定型決策分析。定量風險評估主要是從各種方面進行分析，通過分析得出盈虧決策的關鍵因素，進而得出風險評估的作用與效果。

4結語

項目融資中的風險評估是整個項目風險評估中的一部分，但對于整個項目風險評估來說，確實十分重要的。項目融資就是為項目提供充足的資金，是整個項目的資金保證。但相應的資金的風險評估對每個投資者來說都是十分重要的，只有風險投資達到自己的預期目標，投資者才會進行投資。筆者通過對項目融資中風險評估方法的分析總計，總結出風險評估的基本步驟和方法。希望這些方法和步驟能對從事項目融資風險評估的工作的人員給與參考和幫助。

參考文獻：

[1]彭鵬.淺析項目融資中風險評估的方法[J].經營管理者，2012(18).

[2]王靜紅.以“項目融資”方式促進房地產企業的發展[J].環渤海經濟瞭望，2012(10).

[3]期海明.商業銀行參與BT項目融資法律風險分析———以經濟適用住房建設為例[J].廣西金融研究，2013(10).

篇8

一、火災風險評估的概念

過去，人們往往依靠經驗和直觀推斷來做出決策。隨著計算機容量不斷擴大和模塊技術的發展，風險評估（riskassessment）和風險管理（riskmanagement）技術作為復雜或重大事項決策的必要輔助手段，在過去的二、三十年間，在決策分析、管理科學、運營研究和系統安全等領域得到了廣泛的認知和應用[1]。

通常認為風險(risk)的定義為：能夠對研究對象產生影響的事件發生的機會，它通過后果和可能性這兩個方面來具體體現。風險概念中包括三個因素：對可能發生的事件的認知；該事件發生的可能性；發生的后果[2]。因而，火災風險（firerisk）包含火災危險性（發生火災的可能性）和火災危害性（一旦發生火災可能造成的后果）雙重含義[3]。

現在，在文獻中可以看到的與“火災風險評估”相關的術語有fireriskanalysis,fireriskestimation,fireriskevaluation,fireriskassessment等，但基本上火災風險評估都是指：在火災風險分析的基礎上對火災風險進行估算，通過對所選擇的風險抵御措施進行評估，把所收集和估算的數據轉化為準確的結論的過程。火災風險評估與火災模擬、火災風險管理和消防工程之間有密切關系，為其提供定性和定量的分析方法，簡單地如消防安全設施檢查表，復雜的就會涉及到概率分析，在應用方面針對的風險目標的性質和分析人員的經驗有各種變化[4]。

較多的人傾向于從工程角度來定義火災危害性（firehazard）和火災風險（firerisk）。火災危害性指：凡是根據已有的資料認為能引起火災或爆炸，或是能為火災的強度增大或蔓延持續提供燃料，即對人員或財產安全造成威脅的任何情況、工藝過程、材料或形勢。火災危害性分析在不同的情況下有不同的針對性，目的是確定在一定的條件下有可能發生的可預見性后果。這種設定的條件稱為火災場景，包括建筑物中房間的布局、建材、裝修材料及家具、居住者的特征等與相關后果有關的各種具體信息。目前在確定后果方面的趨勢是盡可能地利用各種火災模式，輔以專家判斷。此時，危害性分析可以看作是風險評估的一個構成元素，即風險評估是對危害發生的可能性進行權衡的一系列危害性分析。

從系統分析的角度來看，風險具有系統特性和動態特性。風險實際上并非某一單一實體或事物的固有特性，而是屬于一個系統的特性。若系統發生變化，很容易就會使事先對風險所做的估算隨之發生變化。火災風險評估模式包括：系統認定，即明確所要評估的具體系統并定義出風險抵御措施的過程；風險估算，即設定關于火災的發生幾率和嚴重后果及其伴隨的不確定性的衡量標準或尺度，計算和量化系統中的指標的過程；風險評估，對該標準或尺度進行分析和估算，確定某一特定風險值的重要性或某一特定風險發生變化的權重[5]。

二、城市區域火災風險評估的意義及發展概況

在消防方面，隨著人們安全意識的提高和建筑設計性能化的發展，對建筑工程的安全評估日益受到重視，比如美國消防協會制定的“NFPA101生命安全法規”是一部關注火災中的人員安全的消防法規，與之同源的“NFPA101A確保生命安全的選擇性方法指南”，分別針對醫護場所、監禁場所、辦公場所等，給出了一系列安全評估方法，多應用于建筑工程的安全性評估方面[6]。

目前，我國在火災風險評價方面的研究，大部分是以某一企業，或某一特定建筑物為對象的小系統。例如，由武警學院承擔的國家“九五”科技攻關項目“石化企業消防安全評價方法及軟件開發研究”，以“石油化工企業防火設計規范”等消防規范和德爾菲專家調查法為基礎，設計了石化企業消防安全評價的指標體系，利用層次分析法和道化指數法確定了各指標的權重，采用線性加權模型得出煉油廠的消防安全評價結果[7]。以某一特定建筑物為對象的火災風險評價也比較多，如中國礦業大學周心權教授，在分析建筑火災發生原因的基礎上，建立了建筑火災風險評估因素集，并運用模糊評價法對我國的高層民用建筑進行了消防安全評價[8]。

與上述的安全評估不同，城市區域的火災風險評估的目的是根據不同的火災風險級別，配置消防救援力量，指導城市消防系統改造，指導城市消防規劃。對已建成的城市區域的火災風險評估必須考慮許多因素，即城市火災危險性評價指標體系，包括區域內所存在的對生命安全造成危險的情況、火災頻率、氣候條件、人口統計等因素，進而評價社區的消防部署和消防能力等抵御風險的因素。除此之外，在評估過程中另一個重要的情況是要關注社區從財政及其他方面為消防規劃中所要求的總體消防水平提供支持的能力和意愿。隨著城市規模擴大、綜合功能增強，在居住區商貿中心、醫院、學校、和護理場所增多，評估方法還會相應的改變。現有的城市區域火災風險評估方法主要出于以下兩個目的：

（一）用于保險目的

在火災保險方面的應用的典型事例為美國保險管理處ISO(InsuranceServicesOffice,ISO)的城市火災分級法，在美國已經被視為指導社區政府部門對其火災抵御能力和實際情況進行分類和自我評估的良好方法。ISO方法把社區消防狀況分為10個等級，10級最差，1級最好。

ISO是按照一套統一的指標來對每個社區的客觀存在的滅火能力進行評估，確定該社區的公共消防級別，這套指標來自于由美國消防協會和美國自來水公司協會所制定的各種國家規范。ISO對城市消防的分級方法主要體現在它的“市政消防分級表(CommercialFireRatingSchedule,CFRS)”上。CFRS把建筑結構、用途、防火間距與公共消防情況（用公共消防分級數目表達）相關聯，再以統計數據加以調節后，來確定相應的火險費用。ISO級別僅被保險公司用作確定火險費用的一個成分。ISO分級系統雖然無法反映出消防組織的其他應急救援能力，但實際上也常用于各個區域的公共滅火力量的確定。

市政消防分級表從1974年開始使用，主要考察某城市區域的7個指標情況：供水、消防隊、火災報警、建筑法規、電氣法規、消防法規、氣候條件。隨著技術進步，該表也不斷改進。1980年版抽取了CFRS中對公共消防分級的方法，給出了修訂后的滅火力量等級表，指標只包括前3項。被刪除的指標或者確少區分度，或者在全市范圍內進行評估時太過于主觀，而且74表格中包含許多評估標準是具體的規定，如果某一社區的情況沒有滿足這些規定，則歸屬為差額分，規定降低了表格可使用的彈性范圍，無法正確評估情況和技術的變化。故而ISO分級表被視為越來越“性能化”[9]。

（二）用于消防力量的部署

當今的消防組織和地方政府要擔負日益加重的安全責任，面對來自公眾的對抵御各種風險的更多的期望，以及調整消防機構人員、設備及其他預算方面的壓力，迫切需要確認某一給定轄區內的具體風險和危險的等級。

具體地說，城市區域風險評估在消防方面的目的就是：使公眾和消防員的生命、財產的預期風險水平與消防安全設施以及火災和其他應急救援力量的種類和部署達到最佳平衡。

關于火災風險對于滅火救援力量的影響，美國消防界對此的關注可以說幾經反復，其間美國消防學院、NFPA等都做了許多工作。直至20世紀90年代，國際消防局長協會成立了由150名專業人士組成的國際消防組織資質認定委員會(theCommissionofFireAccreditationInternational,CFAI)，經過9年的廣泛工作，制定了“消防應急救援自我評估方法”，和制定標準的社區消防安全系統。另外，NFPA最終還制定了NFPA1710和1720兩個指導消防力量部署的標準，分別幫助職業消防隊和志愿消防隊和改進為社區提供的消防救援的水平。根據NFPA最近的調查，NFPA1710將在全美30500個消防機構中的3300~3600個得到正式的應用，也推廣到加拿大有些地區[10]。

英國對消防救援力量的部署標準是依據內政部批準的“風險指標”，把消防隊的轄區劃分為“A”、“B”、“C”、“D”四類區域，名為“風險分級”系統。其目的是對消防隊的轄區進行風險評估，確定轄區內的各種風險區域，進而確定該風險區域發生火災后應出動的消防車數量和消防響應時間。1995年，英國的審計委員會了一份題為“消防方針”的考察報告，認為這種方法沒有充分考慮建筑設施的占用情況、社區的人口統計情況和社會經濟因素，也沒有把建筑物內的消防安全設施納入考核范圍。故而由審計委員會報告聯合工作組與內政部的消防研究發展辦公室一起，設立了一個研究項目。該項目的目的是開發一套供消防機構劃分區域的風險等級，對包括滅火在內的所有應急救援力量進行部署，用于消防安全設施的規劃并能解決上述問題的風險評估方法，再對開發出的方法進行測試。最后Entec公司開發出了計算軟件，并于1999年4月以內政部的名義出臺了“風險評估工具箱”測試版[11]。

三、國內外近期的城市區域火災風險評估方法

（一）國內的城市區域火災風險評估方法

張一先等采用指數法對蘇州古城區的火災危險性進行分級[15]，該方法的指標體系考慮了數量危險性，著火危險性，人員財產損失嚴重度，消防能力這四個因素。1995年李杰等在建立火災平均發生率與城市人口密度﹑城區面積﹑建筑面積間的統計關系基礎上，選取建筑面積為主導參量，建立了以建筑面積為單一因子的城市火災危險評價公式[12]。李華軍[16]等在1995年提出了城市火災危險性評價指標體系，該體系中城市火災危險性評價由危害度﹑危險度和安全度三個指標組成，用以評價現實的風險，不能用來指導城市消防規劃。

（二）美國的“風險、危害和經濟價值評估”方法[13]

美國國家消防局與CFAI于1999年一起，在“消防局自我評估”及“消防安全標準”的工作的基礎上，更突出強調了“火災科學”的“科學性”，開發出名為“風險、危害和經濟價值評估（Risk,HazardandValueEvaluation）”的方法。美國消防局于2001年11月19日了該方案，這是一個計算機軟件系統，包含了多種表格、公式、數據庫、數據分析方法，主要用于采集相關的信息和數據，以確定和評估轄區內火災及相關風險情況，供地方公共安全政策決策者使用，有助于消防機構和轄區決策者針對其消防及應急救援部門的需求做出客觀的、可量化的決策，更加充分地體現了把消防力量布署與社區火災風險相結合的原則。

該方法的要點集中于兩個方面：1、各種建筑場所火災隱患評估。其目的是收集各種數據元素，這些數據能夠通過高度認可的量度方法，以便提供客觀的、定量的決策指導。其中的分值分配系統共包括6類數據元素：建筑設施、建筑物、生命安全、供水需求、經濟價值。2、社區人口統計信息。用于收集轄區年度收集的相關數據元素。包括居住人口、年均火災損失總值、每1000人口中的消防員數目等數據元素。

該方法已在一些消防局的救援響應規劃中得到應用。以蘇福爾斯消防局為例，它利用該方法把其社區風險定義為高中低三類區域，進而再考察這些區域的火災風險可能性和后果：高風險區域包括風險可能性和后果都很大的以及可能性低、后果大的區域，主要指人員密集的場所和經濟利益較大的場所；中等風險區域是風險可能性大，后果小的區域，如居住區；低風險區域是風險可能性和后果都較低的區域，如綠地、水域等，然后再把這些在消防救援響應規劃中體現出來。

（三）英國的“風險評估”方法[14]

英國Entec公司研發“消防風險評估工具箱”，解決了兩個問題：一是評估方法的現實性，是否在一定的時限內能達到最初設定的目標。經過對環境、管理、海事安全等部門所使用的各種風險評估方法的進行廣泛考察之后，研究人員認為如果對這些方法加以適當轉換，就可以通過不同的方法對消防隊應該接警響應的不同緊急情況進行評估。二是建立了表達社會對生命安全風險可接受程度的指標。

篇9

in Inner Mongolia Power （Group） Co.， Ltd.

Ao Wei 1 Zhuang Su-shuai 2

（1.Information Communication Branch of the Inner Mongolia Power （Group）Co.， Ltd Inner MongoliaHohhot 010020；

2.Beijing Certificate Authority Co.， Ltd Beijing 100080）

【 Abstract 】 Based on the conduct of information security risk assessment in Inner Mongolia Power （Group） Co. Ltd.， we analyzed the general methods of risk assessment on power information systems. Besides， we studied the techniques and overall process of risk assessment on power information systems in Inner Mongolia Power （Group） Co. Ltd.， whose exploration provides valuable inspiration to information security in electric power industry.

【 Keywords 】 information systems of Inner Mongolia Power （Group） Co.， Ltd.； information security； risk assessment； exploration and inspiration

1 引言

目前，電力行業信息安全的研究只停留于網絡安全防御框架與防御技術的應用層面，缺少安全評估方法與模型研究。文獻[1]-[3]只初步分析了信息安全防護體系的構架與策略，文獻[4]、[5]研究了由防火墻、VPN、PKI和防病毒等多種技術構建的層次式信息安全防護體系。這些成果都局限于單純的信息安全保障技術的改進與應用。少數文獻對電力信息安全評估模型進行了討論，但對于安全風險評估模型的研究都不夠深入。文獻[6]、文獻[7]只定性指出了安全風險分析需要考慮的內容；文獻[8]討論了一種基于模糊數學的電力信息安全評估模型，這種模型本質上依賴于專家的經驗，帶有主觀性；文獻[9]只提出了一種電力信息系統安全設計的建模語言和定量化評估方法，但是并未對安全風險的評估模型進行具體分析。

本文介紹了內蒙古電力信息系統風險評估的相關工作，并探討了內蒙古電力信息系統風險評估工作在推動行業信息安全保護方面帶給我們的啟示。

2 內蒙古電力信息安全風險評估工作

隨著電網規模的日益擴大，內蒙古電力信息系統日益復雜，電網運行對信息系統的依賴性不斷增加，對電力系統信息安全的要求也越來越高。因此，在電力行業開展信息安全風險評估工作，研究電力信息安全問題，顯得尤為必要。

根據國家關于信息安全的相關標準與政策，并根據實際業務情況，內蒙古電力公司委托北京數字認證股份有限公司（BJCA）對信息系統進行了有效的信息安全風險評估工作。評估的內容主要包括系統面臨的安全威脅與系統脆弱性兩個方面，以解決電力信息系統面臨的的安全風險。

3 電力系統信息安全風險評估的解決方案

通過對內蒙古電力信息系統的風險評估工作，我們可以總結出電力信息系統風險評估的解決方案。

4 電力信息系統風險評估的流程

電力信息系統風險評估的一般流程。

（1） 前期準備階段。本階段為風險評估實施之前的必需準備工作，包括對風險評估進行規劃、確定評估團隊組成、明確風險評估范圍、準備調查資料等。

（2） 現場調查階段：實施人員對評估信息系統進行詳細調查，收集數據信息，包括信息系統資產組成、系統資產脆弱點、組織管理脆弱點、威脅因素等。

（3） 風險分析階段：根據現場調查階段獲得的相關數據，選擇適當的分析方法對目標信息系統的風險狀況進行綜合分析。

（4） 策略制定階段：根據風險分析結果，結合目標信息系統的安全需求制定相應的安全策略，包括安全管理策略、安全運行策略和安全體系規劃。

5 數據采集

在風險評估實踐中經常使用的數據采集方式主要有三類。

（1） 調查表格。根據一定的采集目的而專門設計的表格，根據調查內容、調查對象、調查方式、工作計劃的安排而設計。常用的調查表有資產調查表、安全威脅調查表、安全需求調查表、安全策略調查表等。

（2） 技術分析工具。常用的是一些系統脆弱性分析工具。通過技術分析工具可以直接了解信息系統目前存在的安全隱患的脆弱性，并確認已有安全技術措施是否發揮作用。

（3） 信息系統資料。風險評估還需要通過查閱、分析、整理信息系統相關資料來收集相關資料。如：系統規劃資料、建設資料、運行記錄、事故處理記錄、升級記錄、管理制度等。

a） 分析方法

風險評估的關鍵在于根據所收集的資料，采取一定的分析方法，得出信息系統安全風險的結論，因此，分析方法的正確選擇是風險評估的核心。

結合內蒙電力信息系統風險評估工作的實踐，我們認為電力行業信息安全風險分析的方法可以分為三類。

定量分析方法是指運用數量指標來對風險進行評估，在風險評估與成本效益分析期間收集的各個組成部分計算客觀風險值，典型的定量分析方法有因子分析法、聚類分析法、時序模型、回歸模型、等風險圖法等。

定性分析方法主要依據評估者的知識、經驗、歷史教訓、政策走向及特殊案例等非量化資料對系統風險狀況做出判斷的過程。在實踐中，可以通過調查表和合作討論會的形式進行風險分析，分析活動會涉及來自信息系統運行和使用相關的各個部門的人員。

綜合分析方法中的安全風險管理的定性方法和定量方法都具有各自的優點與缺點。在某些情況下會要求采用定量方法，而在其他情況下定性的評估方法更能滿足組織需求。

表1概括介紹了定量和定性方法的優點與缺點。

b） 質量保證

鑒于風險評估項目具有一定的復雜性和主觀性，只有進行完善的質量控制和嚴格的流程管理，才能保證風險評估項目的最終質量。風險評估項目的質量保障主要體現在實施流程的透明性以及對整體項目的可控性，質量保障活動需要在評估項目實施中提供足夠的可見性，確保項目實施按照規定的標準流程進行。在內蒙古電力風險評估的實踐中，設立質量監督員（或聘請獨立的項目監理擔任）是一個有效的方法。質量監督員依照相應各階段的實施標準，通過記錄審核、流程監理、組織評審、異常報告等方式對項目的進度、質量進行控制。

6 內蒙古電力信息安全風險評估的啟示

為了更好地開展風險評估工作，可以采取以下安全措施及管理辦法。

6.1 建立定期風險評估制度

信息安全風險管理是發達國家信息安全保障工作的通行做法。按照風險管理制度，適時開展風險評估工作，或建立風險評估的長效機制，將風險評估工作與信息系統的生命周期和安全建設聯系起來，讓風險評估成為信息安全保障工作運行機制的基石。

6.2 編制電力信息系統風險評估實施細則

由于所有的信息安全風險評估標準給出的都是指導性文件，并沒有給出具體實施過程、風險要素識別方法、風險分析方法、風險計算方法、風險定級方法等，因此建議在國標《信息安全風險評估指南》的框架下，編制適合電力公司業務特色的實施細則，根據選用的或自定義的風險計算方法，，制各種模板，以在電力信息系統實現評估過程和方法的統一。

6.3 加強風險評估基礎設施建設，統一選配風險評估工具

風險評估工具是保障風險評估結果可信度的重要因素。應根據選用的評估標準和評估方法，選擇配套的專業風險評估工具，向分支機構配發或推薦。如漏洞掃描、滲透測試等評估輔助工具，及向評估人員提供幫助的資產分類庫、威脅參考庫、脆弱性參考庫、可能性定義庫、算法庫等評估輔助專家系統。

6.4 統一組織實施核心業務系統的評估

由于評估過程本身的風險性，對于重要的實時性強、社會影響大的核心業務系統的評估，由電力公司統一制定評估方案、組織實施、指導加固整改工作。

6.5 以自評估為主，自評估和檢查評估相結合

自評估和檢查評估各有優缺點，要發揮各自優勢，配合實施，使評估的過程、方法和風險控制措施更科學合理。自評估時，通過對實施過程、風險要素識別、風險分析、風險計算方法、評估結果、風險控制措施等重要環節的科學性、合理性進行分析，得出風險判斷。

6.6 風險評估與信息系統等級保護應結合起來

信息系統等級保護若與風險評估結合起來，則可相互促進，相互依托。等級保護的級別是依據系統的重要程度和安全三性來定義，而風險評估中的風險等級則是綜合考慮了信息的重要性、安全三性、現有安全控制措施的有效性及運行現狀后的綜合結果。通過風險評估為信息系統確定安全等級提供依據。確定安全等級后，根據風險評估的結果作為實施等級保護、安全等級建設的出發點和參考，檢驗網絡與信息系統的防護水平是否符合等級保護的要求。

參考文獻

[1] 魏曉菁， 柳英楠， 來風剛. 國家電力信息網信息安全防護體系框架與策略. 計算機安全，2004，6.

[2] 魏曉菁，柳英楠，來風剛. 國家電力信息網信息安全防護體系框架與策略研究. 電力信息化，2004，2（1）.

[3] 沈亮. 構建電力信息網安全防護框架. 電力信息化，2004，2（7）.

[4] 梁運華，李明，談順濤. 電力企業信息網網絡安全層次式防護體系探究. 電力信息化，2003，2（1）.

[5] 周亮，劉開培，李俊娥. 一種安全的電力系統計算機網絡構建方案. 電網技術，2004，28（23）.

[6] 陳其，陳鐵，姚林等. 電力系統信息安全風險評估策略研究. 計算機安全，2007，6.

[7] 阮文峰. 電力企業網絡系統的安全風險分析和評估. 計算機安全，2003（4）.

[8] 叢林，李志民，潘明惠等. 基于模糊綜合評判法的電力系統信息安全評估. 電力系統自動化，2004，28（12）.

[9] 胡炎，謝小榮，辛耀中. 電力信息系統建模和定量安全評估. 電力系統自動化，2005，29（10）.

篇10

信息安全不是一個孤立靜止的概念，信息安全是一個多層面的多因素的綜合的動態的過程。在HTP模型中，信息安全建設是從體系建設過程、運行及改進過程、風險評估過程再到體系建設過程的一個循環往復的過程。沒有絕對的安全，信息安全的技術是不斷的前進的。所以面向企業網絡的安全體系建設是一個需要在不斷考察企業自身發展環境和安全需求的基礎上，通過對現有系統的風險評估，不斷改進的過程。整個安全體系統建設，不能一勞永逸，一成不變。因此，引入安全風險評估的概念和方法相當重要，它為企業網絡的自身評估提供了良好的手段，是企業網絡安全體系不斷發展的動力。

二、風險評估的基本步驟和方法

進行風險評估，首先應按照信息系統業務運行流程進行資產識別，明確要保護的資產、資產的位置，并根據估價原則評價資產的重要性。在對資產進行估價時，不僅要考慮資產的市場價格，更重要的是要考慮資產對于信息系統業務的重要性，即根據資產損失所引發的潛在的影響來決定。為確保資產估價的一致性和準確性，信息系統應按照建立一個統一的價值尺度，以明確如何對資產進行賦值。還要注意特定信息資產的價值的時效性和動態性。

其次系統管理員、操作員、安全專家對信息系統進行全面的安全性分析。對系統進行安全性分析的方法包括調查研究、會議座談、理論分析、進行模擬滲透式攻擊等方法，可運用的分析技術包括貝葉斯信任網絡法、事件樹分析法、軟件故障樹分析法、危害性與可操作性分析法、Petri網法、寄生電路分析法以及系統影響和危險度分析法。

再次對已采取的安全控制進行確認。

最后，建立風險測量方法及風險等級評價原則，確定風險的大小與等級。按照風險評估的深度，風險評估方法可分為：①基本的風險評估方法：對組織所面臨的風險全部采用統一、簡單的方法進行評估分析并確定一個安全標準，這種方法僅適用于規模小、構成簡單、信息安全要求不是很高的組織；②詳細的風險評估方法：對信息系統中所有的部分都進行詳細的評估分析；③聯合的風險評估方法：先鑒定出一個信息系統中高風險、關鍵、敏感部分進行詳細的評估分析，然后對其他的部分采取基本的評估分析。

在進行風險評估時，可采用定性或定量分析方法。定性評估時并不使用具體的數據表示絕對數值，而是用語言描述表示相對程度。由此得出的評估結果只是風險的相對等級，并不代表風險的絕對大小。

定量風險分析方法要求特別關注資產的價值損失和威脅的量化數據。對于具體環境的某一個安全風險時間發生的概率是安全威脅發生概率與系統脆弱點被利用概率的函數，根據聯合概率分布計算公式可得出安全事件L發生概率為PL=TL×VL。其中TL是未考慮資產脆弱點因素的威脅發生的發生概率，VL是資產的脆弱點被威脅利用的概率。

目前風險評估工具存在以下幾類：①掃描工具：包括主機掃描、網絡掃描、數據庫掃描，用于分析系統的常見漏洞；②人侵監測系統(IDS)：用于收集與統計威脅數據；③滲透性測試工具：黑客工具，用于人工滲透，評估系統的深層次漏洞；④主機安全性審計工具：用于分析主機系統配置的安全性；⑤安全管理評價系統：用于安全訪談，評價安全管理措施；⑥風險綜合分析系統：在基礎數據基礎上，定量、綜合分析系統的風險，并且提供分類統計、查詢、TOPN查詢以及報表輸出功能；⑦評估支撐環境工具：評估指標庫、知識庫、漏洞庫、算法庫、模型庫。

三、面向運行的風險評估

由于還沒有一個標準的建設程序和規范，因此在國內很少有企業在風險評估的基礎上進行系統建設，而且很多情況下選擇將網絡一次性安裝完畢。針對這種情況，我們覺得可以考慮采用面向運行的風險評估的方法，對已經建成的、正在運行的網絡進行風險評估，查找問題，然后針對風險點，逐步加以建設完善。在此基礎上，可對網絡再進行一次風險評估。檢查信息系統安全績效，并為進一步提升安全性能做好準備。對于一個企業來講，網絡可以由多個功能模塊組成，包括核心網絡、服務器組、廣域網、互聯網、撥號用戶等。

1.企業網絡分析

企業園區網絡主要包括核心網絡、分布層網絡、接人層網絡、服務器網絡等幾個部分。各個部分都可能受到來自企業內部的安全威脅。(1)核心網絡，核心網絡主要實現核心交換功能，主要的威脅為分組竊聽。(2)分布層網絡，分布層網絡為接入設備提供路由、服務質量和訪問控制等分布層服務，完成核心網絡與接入網絡的信息交互，它是針對內部發起攻擊的第一道防御。在這個網絡中可能存在未授權訪問、IP電子欺騙、分組竊聽等威脅。(3)接人層網絡，接入層網絡是為企業內部網絡最終用戶提供服務。用戶設備是網絡中最大規模的元素，因此該部分網絡可能存在大量的來自內部網絡用戶的安全威脅。如外來筆記本等不安全機器可接入內部網，對內部網的安全造成威脅，可能造成內部數據的泄露，網絡受到惡意攻擊；企業內部網上使用的電腦擅自撥號上互聯網，造成一機多網，可能感染病毒，受到互聯網上用戶的攻擊；內部網客戶端的安全補丁和殺毒軟件病毒庫沒有及時更新，無法有效地防范病毒，因此有病毒泛濫的風險等。(4)服務器網絡，服務器網絡因為向最終用戶提供應用服務，存儲大量的企業內部數據，通常會成為內部攻擊的主要目標，因此未授權訪問、應用層攻擊、IP電子欺騙、分組竊聽、信任關系利用、端口重定向等威脅時刻存在。

2.確定已經采取的安全控制手段

對于企業園區網應當采取的安全控制手段，在這里我們不做詳細講解。我們要做的就是根據網絡安全管理的設計方案，結合上面確定的風險點，進行檢查，確定在這些風險點上已經采取的安全控制措施，并確保這些措施切實有效。比如：(1)防火墻設置是否安全；(2)防火墻是否使用NAT地址轉換；(3)是否安裝入侵監測系統；(4)是否使用電子郵件內容過濾；(5)是否使用RFC2827和1918過濾；(6)撥號用戶是否簽訂安全協議；(7)撥號用戶是否進行強身份認證；(8)是否對用戶線路采用撥號回送程序和控制措施；(9)是否對撥號上網用戶流經關鍵接口的網絡數據包進行監視記錄。當然這只是需要確認內容的一小部分。在確認過程中需要做到的是耐心仔細，不放過每一個細節。同時我們應當與各個部門負責人和系統管理員協同工作，以便取得更大的成效。

3.確定風險的等級

我們需要使用一些掃描工具，對內部網絡進行掃描，以便建立風險等級評價原則，確定風險的大小與等級。根據掃描結果，我們可以結合已經收集到的大量網絡信息，進行認真比較和評估。最后我們可以總結出發現的問題，并提出化解風險的建議。

篇11

綜合分析上述方法的優缺點之后，并結合費用風險量化分析的案例，目前開展項目風險量化評估時多采用蒙特卡洛模擬法（Monte Carlo Simulation）。蒙特卡洛模擬法全面考慮風險事件的風險因素，可以直接處理每一個風險因素的不確定性，使決策更加合理和準確，它是一種多元素變化的方法，在模擬過程中可以編制計算機軟件對模擬過程進行處理，大大節約了時間。通過Monte Carlo模擬法計算出費用的累積分布函數，最后基于費用基線，估算項目的費用風險。因此，費用風險量化評估方法采用Monte Carlo模擬法。

2 費用風險量化評估步驟

根據復雜產品研制項目的特點，其費用風險量化評估的主要步驟為圖1所示。

2.1建立項目CBS，選定費用因子

CBS是開展項目詳細費用估算和費用風險評估的基礎，只有建立了詳細的CBS，才能選定相應的費用參數確定分布函數進行隨機抽樣。

2.2 確定費用因子概率分布

費用因子的概率分布對費用風險評估非常重要。一般是適當的數學分布來描述隨機變量（費用因子）的概率分布，如果沒有可直接引用的典型理論分布，則根據歷史統計資料或專家意見判斷隨機變量的初始概率分布。在風險分析中常用的概率分布如表1所示。

。

2.4 頻率分布與累積分布分析

假設進行了n次模擬，費用數值的最大值為MAX_c，最小值為MIN_c，將[MIN_c，MAX_c]區間均分為m段子區間，一般分為100段即可，統計n個費用模擬值落在每段子區間中的個數，這就是費用的頻率分布趨勢。將頻率分布分析的結果進行概率累加，即得到費用的累積分布趨勢。

3 費用風險量化管理信息系統設計

為了實現費用風險量化評估的信息化、常態化和標準化，設計開發了復雜產品研制項目費用風險管理信息系統。該信息系統具有費用風險識別、評估、應對、監控等功能。圖3中給出了該信息系統的系統架構圖。

該信息管理系統采用Microsoft .Net平臺技術開發，使用Spring .Net應用程序框架和NHibernate對象/關系數據庫映射工具等進行開發。該架構基于瀏覽器/服務器（B/S，Brower/Service）模式設計，系統架構為五層結構，即表現層、應用服務層、基礎服務層、統一訪問控制層和數據存儲層。

根據費用風險量化評估步驟，首先是建立項目CBS，建立后的CBS如圖4所示：

其次是為建立后的CBS選擇費用因子和概率分布模型，在這里選擇三角分布模型，為費用因子填寫費用信息如圖5所示：

最后對費用風險信息進行了3000次模擬，統計3000個費用模擬值落在每段子區間中的個數，生成費用的概率分布趨勢。將概率分布分析的結果進行概率累加，即得到費用的累積概率趨勢。如圖6所示：

4 結論

隨著技術條件要求和產品系統的復雜度不斷提高，給項目研制費用帶來極大的挑戰。結合實際情況，通過蒙特卡羅模擬法對復雜產品研制項目費用風險進行量化評估，在費用風險量化評估步驟的基礎上，開發了費用風險量化評估信息系統，實現了費用風險量化評估的信息化。

參考文獻：

[1] 王力強，王利.主觀評分法在項目風險管理中的應用[J].北方交通，2012（10）：114-116.

[2] 錢昊，馬維珍.層次分析法在項目風險管理中的應用[J].蘭州交通大學學報：自然科學版，2005，24（3）：53-56.

[3] 汪燦星， 王俊文.基于決策樹的工程項目風險管理方法[J].四川建筑，2008，28（4）：205-206.

篇12

1對象與方法

1．1對象采用便利整群抽樣法，2015年4月—2015年8月選擇全省36家醫院護理人員進行問卷調查。被調查的護士須符合以下條件：工作滿1年及以上的臨床護士和護士長。本調查共發出問卷3605份，收回有效問卷3577份，有效回收率為99．2％。1．2研究方法1．2．1問卷的設計1．2．1．1問卷的研制查閱目前相關的文獻資料，無法獲取一個較好的成熟的關于調查臨床護士對跌倒評估管理的問卷。因此，本研究根據調查表的制定原則自行研制調查問卷，通過廣泛查閱文獻，結合調查目的及調查對象的特點，通過咨詢專家及咨詢調查對象進行條目的篩選，形成初始問卷，通過預調查，對調查問卷的適用性進行評價，并進一步修訂與改進，最終形成的問卷1．2．1．2問卷的結構與內容由4部分組成，①一般情況，包括護齡、職稱、崗位、學歷、科室、醫院級別等。②跌倒評估情況，包括對現有跌倒評估表的使用情況、熟悉程度等12個條目。③跌倒上報情況，包括上報形式、跌倒上報表的使用情況等4個條目。④跌倒后的管理情況，包括有無統一管理制度及流程、有無防跌倒專責小組、防跌倒專職小組的職責等10個條目。1．2．2調查方法本研究為橫斷面調查，采用分層整群抽樣的方法。通過護理部與各科護士長聯系，向其解釋本研究的目的、意義及統一問卷填寫方式等，以取得支持和合作。以臨床科室為單位，專人發放問卷，統一指導語，以訪談和問卷相結合的方法進行調查，問卷不記姓名，當場填寫并收回。1．2．3統計學方法采用Excel2007雙重錄入，采用SPSS17．0統計軟件進行統計學處理。計量資料用均數±標準差（x±s）表示，采用t檢驗進行統計學檢驗，計數資料采用χ2檢驗，以P＜0．05為差異有統計學意義。

2結果

2．1一般基本情況2．1．1醫院基本情況所調查醫院級別為三級醫院14家共320個病區，二級醫院共22家175個病區，病區床位數為8張～110張（47．1張±15．1張），內科、外科、婦產科、兒科、老年科及其他科室分別占44．6％、38．4％、9．1％、3．8％、0．8％、3．2％。2．1．2調查對象基本情況共調查臨床護理人員3577名，詳見表1。2．2跌倒評估情況36家醫院中，21家是使用MORSE跌倒評估量表，15家使用自制跌倒風險評估量表，21．8％護理人員認為目前使用的《跌倒風險評估表》對住院病人風險評估不敏感，30．0％護理人員認為目前使用的《跌倒風險評估表》對防跌倒實踐的指導意義較低，35．6％護理人員認為目前使用的《跌倒風險評估表》不全面，護士認為風險評估表中需增加的內容排前列為：照顧者認知態度（41．6％）、個人行為習慣（29．3％），77．1％的護理人員認為需對目前使用的《跌到風險評估表》進行再培訓，不同護齡及不同學歷的護士對評估表使用的熟悉程度無統計學差異（P＞0．05）。2．3跌倒不良事件上報情況84．15％護理人員認為目前使用的跌倒事件上報表能較好地收集到病人的跌倒相關因素，26．02％護理人員認為跌倒事件上報表需增加家人／照顧者對預防跌倒的認識和態度，20．2％護理人員認為需增加個人行為習慣，19．6％護理人員認為需增加病人的身體狀態，19．1％護理人員認為需增加環境等相關因素，14．3％護理人員認為需增加藥物因素。59．4％護理人員認為上報表需花費較多的時間，47．9％醫院使用書面上報，31．88％醫院使用電話上報，19．7％醫院使用網絡直報。36家醫院中，2家設計并使用《跌倒事件專用報表》，34家使用《不良事件通用報表》，其中12家醫院提供近3年跌倒不良事件發生例數，共計325例，平均每年每家醫院發生9例。2．4跌倒后的管理情況97．2％醫院有統一的跌倒后管理制度與處理流程。83．3％醫院有成立防跌倒專責小組，其中76．7％的專責小組職責范圍覆蓋全院，在跌倒事件發生后，75．4％醫院專責小組會到現場訪視，83．1％的護理人員認為專責小組會提出針對性指導和整改建議，90．4％護理人員認為跌倒事件后需要專責人員到現場進行訪視和指導。92．6％醫院會對跌倒事件進行案例分享，其中76．5％的分享范圍為全院性，18．81％是在科內分享，4．7％是在病區分享，97．2％護理人員認為需要進行跌倒事件分享，其中83．1％認為應在全院進行分享，13．5％認為應在科內分享，3．3％認為應在病區分享。

3討論

3．1進一步研制符合臨床需求的《跌倒危險因素評估量表》調查發現，58．3％的醫院使用MORSE跌倒風險評估表，41．7％醫院使用自制跌倒風險評估量表，35．6％護理人員認為目前使用的評估量表不夠全面，與Oliver等［3］研究結果相符，其指出目前所使用的量表均存在不同程度的不足。目前國內外學者已研制出許多預測跌倒風險的評估量表，但是各類量表實際應用的特異度和靈敏度相差甚遠，且由于人群的人種、教育、素質等不同，評估量表的預測結果也會不同。目前使用常用的跌倒風險評估量表有Morse跌倒量表、Hendrichll跌倒風險評估模型、老年人跌倒風險評估量表、跌倒危險評估表（FallsRiskAssessmentTool，FRAT）、斯巴達跌倒風險評估工具、托馬斯跌倒風險評估工具（StThomas’sRiskAssessmentTool，STRATIFY）、跌倒風險指數（theFallRiskIndex，FRI）等7種［4］，主要是從平衡能力、用藥、跌倒史、尿便失禁等方面對病人進行評估。在調查中發現41．6％護士認為風險評估表中需增加照顧者認知態度，上述的七種量表中均未包含此項內容，同時我們對這七個量表的條目進行分析發現：步態和平衡能力是最公認的跌倒高危因素，這七個量表對步態和平衡的評估都是靠主觀意識判斷，未能準確地反映病人的實際情況，建議在評估表中增加反映步態和平衡能力的客觀指標，如“起立－步行測試”“五次坐立試驗”等，增加跌倒風險評估的準確性和預防措施的針對性［5］。

篇13

過去，人們往往依靠經驗和直觀推斷來做出決策。隨著計算機容量不斷擴大和模塊技術的發展，風險評估（riskassessment）和風險管理（riskmanagement）技術作為復雜或重大事項決策的必要輔助手段，在過去的二、三十年間，在決策分析、管理科學、運營研究和系統安全等領域得到了廣泛的認知和應用。

通常認為風險(risk)的定義為：能夠對研究對象產生影響的事件發生的機會，它通過后果和可能性這兩個方面來具體體現。風險概念中包括三個因素：對可能發生的事件的認知；該事件發生的可能性；發生的后果[2]。因而，火災風險（firerisk）包含火災危險性（發生火災的可能性）和火災危害性（一旦發生火災可能造成的后果）雙重含義。

現在，在文獻中可以看到的與“火災風險評估”相關的術語有fireriskanalysis,fireriskestimation,fireriskevaluation,fireriskassessment等，但基本上火災風險評估都是指：在火災風險分析的基礎上對火災風險進行估算，通過對所選擇的風險抵御措施進行評估，把所收集和估算的數據轉化為準確的結論的過程。火災風險評估與火災模擬、火災風險管理和消防工程之間有密切關系，為其提供定性和定量的分析方法，簡單地如消防安全設施檢查表，復雜的就會涉及到概率分析，在應用方面針對的風險目標的性質和分析人員的經驗有各種變化。較多的人傾向于從工程角度來定義火災危害性（firehazard）和火災風險（firerisk）。火災危害性指：凡是根據已有的資料認為能引起火災或爆炸，或是能為火災的強度增大或蔓延持續提供燃料，即對人員或財產安全造成威脅的任何情況、工藝過程、材料或形勢。火災危害性分析在不同的情況下有不同的針對性，目的是確定在一定的條件下有可能發生的可預見性后果。這種設定的條件稱為火災場景，包括建筑物中房間的布局、建材、裝修材料及家具、居住者的特征等與相關后果有關的各種具體信息。目前在確定后果方面的趨勢是盡可能地利用各種火災模式，輔以專家判斷。此時，危害性分析可以看作是風險評估的一個構成元素，即風險評估是對危害發生的可能性進行權衡的一系列危害性分析。

從系統分析的角度來看，風險具有系統特性和動態特性。風險實際上并非某一單一實體或事物的固有特性，而是屬于一個系統的特性。若系統發生變化，很容易就會使事先對風險所做的估算隨之發生變化。火災風險評估模式包括：系統認定，即明確所要評估的具體系統并定義出風險抵御措施的過程；風險估算，即設定關于火災的發生幾率和嚴重后果及其伴隨的不確定性的衡量標準或尺度，計算和量化系統中的指標的過程；風險評估，對該標準或尺度進行分析和估算，確定某一特定風險值的重要性或某一特定風險發生變化的權重。

二、城市區域火災風險評估的意義及發展概況

在消防方面，隨著人們安全意識的提高和建筑設計性能化的發展，對建筑工程的安全評估日益受到重視，比如美國消防協會制定的“NFPA101生命安全法規”是一部關注火災中的人員安全的消防法規，與之同源的“NFPA101A確保生命安全的選擇性方法指南”，分別針對醫護場所、監禁場所、辦公場所等，給出了一系列安全評估方法，多應用于建筑工程的安全性評估方面。

目前，我國在火災風險評價方面的研究，大部分是以某一企業，或某一特定建筑物為對象的小系統。例如，由武警學院承擔的國家“九五”科技攻關項目“石化企業消防安全評價方法及軟件開發研究”，以“石油化工企業防火設計規范”等消防規范和德爾菲專家調查法為基礎，設計了石化企業消防安全評價的指標體系，利用層次分析法和道化指數法確定了各指標的權重，采用線性加權模型得出煉油廠的消防安全評價結果。以某一特定建筑物為對象的火災風險評價也比較多，如中國礦業大學周心權教授，在分析建筑火災發生原因的基礎上，建立了建筑火災風險評估因素集，并運用模糊評價法對我國的高層民用建筑進行了消防安全評價。與上述的安全評估不同，城市區域的火災風險評估的目的是根據不同的火災風險級別，配置消防救援力量，指導城市消防系統改造，指導城市消防規劃。對已建成的城市區域的火災風險評估必須考慮許多因素，即城市火災危險性評價指標體系，包括區域內所存在的對生命安全造成危險的情況、火災頻率、氣候條件、人口統計等因素，進而評價社區的消防部署和消防能力等抵御風險的因素。除此之外，在評估過程中另一個重要的情況是要關注社區從財政及其他方面為消防規劃中所要求的總體消防水平提供支持的能力和意愿。隨著城市規模擴大、綜合功能增強，在居住區商貿中心、醫院、學校、和護理場所增多，評估方法還會相應的改變。現有的城市區域火災風險評估方法主要出于以下兩個目的：

（一）用于保險目的

在火災保險方面的應用的典型事例為美國保險管理處ISO(InsuranceServicesOffice,ISO)的城市火災分級法，在美國已經被視為指導社區政府部門對其火災抵御能力和實際情況進行分類和自我評估的良好方法。ISO方法把社區消防狀況分為10個等級，10級最差，1級最好。ISO是按照一套統一的指標來對每個社區的客觀存在的滅火能力進行評估，確定該社區的公共消防級別，這套指標來自于由美國消防協會和美國自來水公司協會所制定的各種國家規范。ISO對城市消防的分級方法主要體現在它的“市政消防分級表(CommercialFireRatingSchedule,CFRS)”上。CFRS把建筑結構、用途、防火間距與公共消防情況（用公共消防分級數目表達）相關聯，再以統計數據加以調節后，來確定相應的火險費用。ISO級別僅被保險公司用作確定火險費用的一個成分。ISO分級系統雖然無法反映出消防組織的其他應急救援能力，但實際上也常用于各個區域的公共滅火力量的確定。市政消防分級表從1974年開始使用，主要考察某城市區域的7個指標情況：供水、消防隊、火災報警、建筑法規、電氣法規、消防法規、氣候條件。隨著技術進步，該表也不斷改進。1980年版抽取了CFRS中對公共消防分級的方法，給出了修訂后的滅火力量等級表，指標只包括前3項。被刪除的指標或者確少區分度，或者在全市范圍內進行評估時太過于主觀，而且74表格中包含許多評估標準是具體的規定，如果某一社區的情況沒有滿足這些規定，則歸屬為差額分，規定降低了表格可使用的彈性范圍，無法正確評估情況和技術的變化。故而ISO分級表被視為越來越“性能化”。

（二）用于消防力量的部署

當今的消防組織和地方政府要擔負日益加重的安全責任，面對來自公眾的對抵御各種風險的更多的期望，以及調整消防機構人員、設備及其他預算方面的壓力，迫切需要確認某一給定轄區內的具體風險和危險的等級。具體地說，城市區域風險評估在消防方面的目的就是：使公眾和消防員的生命、財產的預期風險水平與消防安全設施以及火災和其他應急救援力量的種類和部署達到最佳平衡。

關于火災風險對于滅火救援力量的影響，美國消防界對此的關注可以說幾經反復，其間美國消防學院、NFPA等都做了許多工作。直至20世紀90年代，國際消防局長協會成立了由150名專業人士組成的國際消防組織資質認定委員會(theCommissionofFireAccreditationInternational,CFAI)，經過9年的廣泛工作，制定了“消防應急救援自我評估方法”，和制定標準的社區消防安全系統。另外，NFPA最終還制定了NFPA1710和1720兩個指導消防力量部署的標準，分別幫助職業消防隊和志愿消防隊和改進為社區提供的消防救援的水平。根據NFPA最近的調查，NFPA1710將在全美30500個消防機構中的3300~3600個得到正式的應用，也推廣到加拿大有些地區。

英國對消防救援力量的部署標準是依據內政部批準的“風險指標”，把消防隊的轄區劃分為“A”、“B”、“C”、“D”四類區域，名為“風險分級”系統。其目的是對消防隊的轄區進行風險評估，確定轄區內的各種風險區域，進而確定該風險區域發生火災后應出動的消防車數量和消防響應時間。1995年，英國的審計委員會了一份題為“消防方針”的考察報告，認為這種方法沒有充分考慮建筑設施的占用情況、社區的人口統計情況和社會經濟因素，也沒有把建筑物內的消防安全設施納入考核范圍。故而由審計委員會報告聯合工作組與內政部的消防研究發展辦公室一起，設立了一個研究項目。該項目的目的是開發一套供消防機構劃分區域的風險等級，對包括滅火在內的所有應急救援力量進行部署，用于消防安全設施的規劃并能解決上述問題的風險評估方法，再對開發出的方法進行測試。最后Entec公司開發出了計算軟件，并于1999年4月以內政部的名義出臺了“風險評估工具箱”測試版。

三、國內外近期的城市區域火災風險評估方法

（一）國內的城市區域火災風險評估方法

張一先等采用指數法對蘇州古城區的火災危險性進行分級，該方法的指標體系考慮了數量危險性，著火危險性，人員財產損失嚴重度，消防能力這四個因素。1995年李杰等在建立火災平均發生率與城市人口密度﹑城區面積﹑建筑面積間的統計關系基礎上，選取建筑面積為主導參量，建立了以建筑面積為單一因子的城市火災危險評價公式[12]。李華軍[16]等在1995年提出了城市火災危險性評價指標體系，該體系中城市火災危險性評價由危害度﹑危險度和安全度三個指標組成，用以評價現實的風險，不能用來指導城市消防規劃。

（二）美國的“風險、危害和經濟價值評估”方法

美國國家消防局與CFAI于1999年一起，在“消防局自我評估”及“消防安全標準”的工作的基礎上，更突出強調了“火災科學”的“科學性”，開發出名為“風險、危害和經濟價值評估（Risk,HazardandValueEvaluation）”的方法。美國消防局于2001年11月19日了該方案，這是一個計算機軟件系統，包含了多種表格、公式、數據庫、數據分析方法，主要用于采集相關的信息和數據，以確定和評估轄區內火災及相關風險情況，供地方公共安全政策決策者使用，有助于消防機構和轄區決策者針對其消防及應急救援部門的需求做出客觀的、可量化的決策，更加充分地體現了把消防力量布署與社區火災風險相結合的原則。該方法的要點集中于兩個方面：1、各種建筑場所火災隱患評估。其目的是收集各種數據元素，這些數據能夠通過高度認可的量度方法，以便提供客觀的、定量的決策指導。其中的分值分配系統共包括6類數據元素：建筑設施、建筑物、生命安全、供水需求、經濟價值。2、社區人口統計信息。用于收集轄區年度收集的相關數據元素。包括居住人口、年均火災損失總值、每1000人口中的消防員數目等數據元素。

該方法已在一些消防局的救援響應規劃中得到應用。以蘇福爾斯消防局為例，它利用該方法把其社區風險定義為高中低三類區域，進而再考察這些區域的火災風險可能性和后果：高風險區域包括風險可能性和后果都很大的以及可能性低、后果大的區域，主要指人員密集的場所和經濟利益較大的場所；中等風險區域是風險可能性大，后果小的區域，如居住區；低風險區域是風險可能性和后果都較低的區域，如綠地、水域等，然后再把這些在消防救援響應規劃中體現出來。

（三）英國的“風險評估”方法

英國Entec公司研發“消防風險評估工具箱”，解決了兩個問題：一是評估方法的現實性，是否在一定的時限內能達到最初設定的目標。經過對環境、管理、海事安全等部門所使用的各種風險評估方法的進行廣泛考察之后，研究人員認為如果對這些方法加以適當轉換，就可以通過不同的方法對消防隊應該接警響應的不同緊急情況進行評估。二是建立了表達社會對生命安全風險可接受程度的指標。

Entec的方法分為三個階段。首先應該在全國范圍內，對消防隊應該接警響應的各類事故和各類建筑設施進行風險評估，這樣得到一組關于滅火力量部署和消防安全設施規劃的國家指南。對于各類事故和建筑設施而言，由于所采用的分析方法、數據各不相同，所以對于國家水平上的風險評估設定了一個包括四個階段的通用的程序：對生命和/或財產的風險水平進行估算；把風險水平與可接受指標進行對比；確定降低風險的方法，包括相應的預防和滅火力量的部署；對不同層次的滅火和預防工作的作用進行估算，確定能合理、可行地降低風險的最經濟有效的方法。

國家指南確定后，才能提供一套評估工具，各地消防主管部門可以利用這些工具在國家規劃要求范圍內，對當地的火災風險進行評估，并對滅火力量進行相應的部署。該項目要求針對以下四類事故制定風險評估工具：住宅火災；商場、工廠、多用途建筑和民用塔樓這樣人員比較密集的建筑的火災；道路交通事故一類危及生命安全、需要特種救援的事故；船舶失事、飛機墜落這樣的重特大事故。

第三個階段是對使用上述評估工具的區域進行考查，估算其風險水平，與國家風險規劃指南對比，并推薦應具備的消防力量和消防安全設施水平。

參考文獻：

1、ThomasF.Barry,P.E.Risk-informed,Performance-basedIndustrialFirerotection.

TennesseeValleyPublishing,2002.

&n2、HB142-1999Abasicintroductiontomanagingrisk：AS/NZS4360:1999

3、ISO8421-1：1987（E/F）

4、RichardW.Vukowski,FireHazardAnalysis,FireProtectionHandbook,18thedition,1995.

5、Brannigan,V.,andMeeks,C.,“ComputerizedFireRiskAssessmentModels”,JournalofFireSciences,No.31995.

6、NFPA101AGuideonAlternativeApproachestoLifeSafety.2000edition.

7、趙敏學，吳立志，商靠定，劉義祥，韓冬.石化企業的消防安全評價，安全與環境學報，第3期，2003年

8、李志憲，楊漫紅，周心權.建筑火災風險評價技術初探[J].中國安全科學學報.2002年第12卷第2期：30～34.

9、FireSuppressionRatingSchedule,ISOCommercialRiskServices,1998edition.

10、NFPA1710:ADecisionGuide,InternationalAssociationofFireChiefs,Fairfax,Virginia.2001.

11、Entec,ReviewofHighOccupancyRiskAssessmentToolkit.23August2000.

12、李杰等.城市火災危險性分析[J].自然災害學報95年第二期：99～103.

13、InformationontheRisk,HazardandValueEvaluation,USFA,1999.