第七届信息安全漏洞分析与风险评估大会（最终版）

第一篇：第七届信息安全漏洞分析与风险评估大会（最终版）

第七届信息安全漏洞分析与风险评估大会

（VARA 2014）在湖南召开

2014年10月16日，中国信息安全测评中心主办的第七届信息安全漏洞分析与风险评估大会（VARA 2014）在湖南长沙召开。本次大会由中南大学与华中测评中心联合承办，清华大学等单位协办，会议以“促进安全，保障发展”为主题，继续秉承“权威高端、学术前沿、产业应用”的宗旨，面向国家信息安全保障发展与技术进步，围绕信息安全漏洞分析与风险评估、新技术新应用安全、工业控制系统安全、网络安全积极防御等信息安全领域的重点问题，进行了广泛深入交流。与会代表分享了相关领域在理论、方法、技术、标准和实践等方面的最新成果与研究进展。

本次会议共有信息安全领域院士、专家、知名学者，相关部门领导，信息安全研究机构，高等院校，行业用户以及信息安全产业界嘉宾600余人到会交流。

中国信息安全测评中心领导在致辞中表示，要处理好安全与发展的关系，提高对漏洞和隐患危害性的认识，并提出尽快启动“国家级信息安全漏洞消减计划”、“建立法制化、规范性的风险评估制度”，“以创新提高漏洞和风险管控能力”的三点倡议。参会院士围绕漏洞分析、自主可控等相关信息安全问题进行了精彩发言。相关部门领导介绍了国家在加强网络安全管理、提升安全保障能力方面的重点工作。

围绕大会主题，本次会议设置了信息安全漏洞分析、风险评估、工控安全和信息安全积极防御等四个分会场，展开专题研讨，从多角度、多层面反映了漏洞分析新技术和新方法，展现了各种网络与系统环境下风险评估的新思路，沟通了工控系统信息安全技术发展与测评工作的新进展，从更宽的视野探讨了信息安全积极防御的新举措。

作为信息安全领域业界专家、学术研究人员和政府、行业及用户交流的重要平台，信息安全漏洞分析与风险评估大会为及时、全面反映我国在信息安全漏洞分析和风险评估领域的创新成果和研究能力，探索国家信息安全保障新思路、新方法，推动信息安全技术进步，促进信息安全保障水平提升正发挥着愈来愈重要的作用。

第二篇：环境风险评估分析

环境卫生风险评估

1、加强行风建设，提高服务质量

要抓好环卫工作，必须有一支高素质的环卫队伍，我们坚持以思想政治教育为本，结合学习江泽民同志三个代表重要思想和十六大精神大力开展职工教育，破除旧有思想，针对环卫工作又脏又累。有些职工思想不稳定的现实，让广大职工树立正确的人生观、世界观、价值观和择业观，做到“自尊、自强、自重、自省”。要求全体党员要把先进性教育活动转化为推动环卫工作发展的动力，积极发挥先锋模范作用。从而在全局上下形成了一种爱岗敬业、高效廉洁的工作作风，使我们的服务质量有很大提高。

2、对环境空气影响的主要因子有哪些

（1）主要是猪场粪便及尿液挥发的恶臭及恶臭气体，包括硫化氢、氨、粪臭素等。

3、在影响分析与评价中，除水环境影响、环境空气影响外，还应关注哪些方面

（1）关注以粪便为主的固体废物处理不当的污染问题；

（2）关注可能发生疫情的问题，或疫情发生时的应急处理；

（3）关注蚊蝇孳生等公共卫生问题对环境及人体健康的影响；

（4）关注施工期&无疑考试网&的生态影响。

4、猪场粪便处理是否存在问题

（1）粪便由附近农民拉走肥田虽然是一种处置方案，但存在不能及时拉走或不能完全拉走而造成污染的问题。

（2）建设单位应采取措施彻底解决粪便污染，选择应急安全卫生填埋场或处置场所。

5、养猪场工作人员卫生风险及疾病

养猪场工作人员轮状病毒的阳率为21．62％，符合轮状病毒在人群中分布的一般规律。本次调查发现人、猪轮状病毒隐性感染的情况很相似，在21．62％至21．82％之间。有报道A组轮状病毒可从人和多种动物检出，提示有人畜共患的可能［2］。本病既然为人畜共患病，则人畜皆可为宿主，均可作为传染源，值得流行病学工作者的重视。

调查还发现，在养猪场工作2～3年的工作人员的轮状病毒阳性率（41．18％）高于在养猪场工作1～2年和3年以上工作人员的轮状病毒阳性率（分别为16．67％和15．38％），造成这种差别的原因，可能与人群的暴露程度及免疫状况有关。究竟是何原因，有待进一步探讨

第三篇：信息安全风险评估服务

1、风险评估概述

1.1风险评估概念

信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。

1.2风险评估相关

资产，任何对组织有价值的事物。

威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。

脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。

风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。

2、风险评估的发展现状

2.1信息安全风险评估在美国的发展

第一阶段（60-70年代）以计算机为对象的信息保密阶段

1067年11月到1970年2月，美国国防科学委员会委托兰德公司、迈特公司（MITIE）及其它和国防工业有关的一些公司对当时的大型机、远程终端进行了研究，分析。作为第一次比较大规模的风险评估。特点：

仅重点针对了计算机系统的保密性问题提出要求，对安全的评估只限于保密性，且重点在于安全评估，对风险问题考虑不多。第二阶段（80-90年代）以计算机和网络为对象的信息系统安全保护阶段

评估对象多为产品，很少延拓至系统，婴儿在严格意义上扔不是全面的风险评估。

第三阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段

随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评估、认证认可的工作思路。2.2我国风险评估发展

● 2002年在863计划中首次规划了《系统安全风险分析和评估方法研究》课题

● 2003年8月至2010年在国信办直接指导下，组成了风险评估课题组

● 2004● 2005年，国家信息中心《风险评估指南》，《风险管理指南》 年全国风险评估试点

● 在试点和调研基础上，由国信办会同公安部，安全部，等起草了《关于开展信息安全风险评估工作的意见》征求意见稿

● 2006年，所有的部委和所有省市选择1-2单位开展本地风险评估试点工作

● 2015年，国家能源局根据《电力监控系统安全防护规定》（国家发展和改革委员会令2014年第14号）制定了《电力监控系统安全防护总体方案》（国能安全[2015]36号）等安全防护方案和评估方案，其中相关规定明确风险评估在电力系统中的需要

● 2017年7月，《中华人民共和国网络安全法》颁布，其中第二章第十七条“国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务”。明确了需要社会广泛参与服务。

3、风险评估要素关系模型

4、风险评估流程

● 确定资产评估范围 ● 资产的识别和影响 ● 威胁识别 ● 脆弱性评估 ● 威胁分析 ● 风险分析 ● 风险管理

5、风险评估原则

● 符合性原则 ● 标准性原则 ● 规范性原则

● 可控性原则 ● 保密性原则

● 整体性原则 ● 重点突出原则 ● 最小影响原则

6、评估依据的标准和规范

 GB/T 20984-2007 《信息安全技术 信息安全风险评估规范》  《电力监控系统安全防护规定》（发改委14号令）

 《关于印发电力监控系统安全防护总体方案等安全防护方案和评估规范的通知》（国能安全[2015]36号）

 GB/T 18336-2001 《信息技术 安全技术 信息技术安全性评估准则》

 ISO/IEC 27001:2005《信息安全管理体系标准》

 GB/T 22239-2008 《信息安全技术 信息系统安全等级保护基本要求》

 GB/T 22240-2008 《信息安全技术 信息系统安全等级保护定级指南》

 GB/T 25058-2010 《信息安全技术 信息系统安全等级保护实施指南》

 《电力行业信息安全等级保护基本要求》（电监信息[2012]62号） 《关于开展电力行业信息系统安全等级保护定级工作的通知》（电监信息[2007]34号）

 《电力行业信息系统等级保护定级工作指导意见》（电监信息[2007]44号）

7、风险评估的发展方向

8.1风险评估行业发展方向

从2003年7月至今，我国信息安全风险评估工作大致经历了三个阶段，即调查研究阶段、标准编制阶段和试点工作阶段。

历时两年、经过调查研究、标准编制和试点工作三个阶段，目前，我国信息安全风险评估工作已取得阶段性的成果，此间也是《关于开展信息安全风险评估工作的意见》政策文件，以及《信息安全风险评估指南》和《信息安全风险管理指南》两项标准历经酝酿、形成到不断完善的三个时期。

信息安全风险是人为或自然的威胁利用系统存在的脆弱性引发的安全事件，并由于受损信息资产的重要性而对机构造成的影响。而信息安全风险评估，则是指依据国家风险评估有关管理要求和技术标准，对信息系统及由其存储、处理和传输的信息的机密性、完整性和可用性等安全属性进行科学、公正的综合评价的过程。通过对信息及信息系统的重要性、面临的威胁、其自身的脆弱性以及已采取安全措施有效性的分析，判断脆弱性被威胁源利用后可能发生的安全事件以及其所造成的负面影响程度来识别信息安全的安全风险。

信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制。没有准确及时的风险评估，将使得各个机构无法对其信息安全的状况做出准确的判断。所以，所谓安全的信息系统，实际是指信息系统在实施了风险评估并做出风险控制后，仍然存在可被接受的残余风险的信息系统。因此，需要运用信息安全风险评估的思想和规范，对信息系统展开全面、完整的信息安全风险评估。

信息安全风险评估在信息安全保障体系建设中具有不可替代的地位和重要作用。风险评估既是实施信息系统安全等级保护的前提，又是信息系统安全建设和安全管理的基础工作。通过风险评估，能及早发现和解决问题，防患于未然。当前，尤其迫切需要对我国信息化发展过程中形成的基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统进行持续的风险评估，随时掌握我国重要信息系统和基础信息网络的安全状态，及时采取有针对性的应对措施，为建立全方位的国家信息安全保障体系提供服务。通过风险评估可以有助于认清信息安全环境和信息安全状况，明确信息化建设中各级的责任，采取或完善更加经济有效的安全保障措施，保证信息安全策略的一致性和持续性，并进而服务于国家信息化发展，促进信息安全保障体系的建设，全面提高信息安全保障能力。其意义具体体现在于：风险评估是信息安全建设和管理的关键环节，它是需求主导和突出重点原则的具体体现，是分析确定风险的过程，加强风险评估工作是信息安全工作的客观需要。

国家信息安全风险评估政策文件和标准的即将出台与颁布将为我国信息安全风险评估工作的开展提供科学的政策和技术依据。相信在未来，我国信息安全风险评估的政策思路、标准规范、实践经验将会有进一步提升。

8.2公司自身的发展方向

就当前公司而言，最紧要的是对于信息安全风险评估资质的申请，和人员技术的培训。依托现有的省公司调度自动化处的合作，促进与新型能源企事业合作，大力开展光伏电站入网前的安全防护检查与检测，同时拓展到风电、水电和火电的并网后的定期检查。在这个方面，我司现在的业务水平尚有欠缺，技术方面还有不足。因此现在在面临这行业蓬勃发展的前提下，我们要在资质和技术上双管齐下。另外，在正式介入这个行业后，我们不能只局限于和电厂的合作，更应该面向整个社会，提高社会参与度。据河南同样类型的企业，其在2017年一月至2017年七月营业额同比增长200%。在当前情况下信息安全风险评估无疑是巨大的一块蛋糕。越来越多的企业都在信息化、网络化，意味着这块蛋糕的体积还在不断地增加。所以我们应该把握时机。充分利用已有的资源，抢占市场，占据优势地位。

第四篇：信息安全风险评估管理办法

信息安全风险评估管理办法

第一章 总 则

第一条 为规范信息安全风险评估（以下简称“风险评估”）及其管理活动，保障信息系统安全，依据国家有关规定，结合本省实际，制定本办法。

第二条 本省行政区域内信息系统风险评估及其管理活动，适用本办法。

第三条 本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。

本办法所称重要信息系统，是指履行经济调节、市场监管、社会管理和公共服务职能的信息系统。

本办法所称风险评估，是指依据有关信息安全技术与管理标准，对信息网络和信息系统及由其存储、传输、处理的信息的保密性、完整性和可用性等安全属性进行评价的活动。第四条 县以上信息化主管部门负责本行政区域内风险评估的组织、指导和监督、检查。

跨省或者全国统一联网运行的重要信息系统的风险评估，可以由其行业管理部门统一组织实施。

涉密信息系统的风险评估，由国家保密部门按照有关法律、法规规定实施。第五条 风险评估分为自评估和检查评估两种形式。自评估由信息系统的建设、运营或者使用单位自主开展。检查评估由县以上信息化主管部门在本行政区域内依法开展，也可以由信息系统建设、运营或者使用单位的上级主管部门依据有关标准和规范组织进行，双方实行互备案制度。第二章 组织与实施

第六条 信息化主管部门应当定期发布本行政区域内重要信息系统目录，制定检查评估实施计划，并对重要信息系统管理技术人员开展相关培训。

第七条 江苏省信息安全测评中心为本省从事信息安全测评的专门机构，受省信息化主管部门委托，具体负责对从事风险评估服务的社会机构进行条件审核、业务管理和人员培训，组织开展全省重要信息系统的外部安全测试。第八条 信息系统的建设、运营或者使用单位可以依托本单位技术力量，或者委托符合条件的风险评估服务机构进行自评估。

第九条 重要信息系统新建、扩建或者改建的，在设计、验收、运行维护阶段，均应当进行自评估。重要信息系统废弃、发生重大变更或者安全状况发生重大变化的，应当及时进行自评估。

第十条 本省行政区域内信息系统应当定期开展风险评估，其中重要信息系统应当至少每三年进行一次自评估或检查评估。在规定期限内已进行检查评估的重要信息系统，可以不再进行自评估。

第十一条 县以上信息化主管部门委托符合条件的风险评估服务机构，对本行政区域内重要信息系统实施检查评估。第十二条信息系统的建设、运营或使用单位委托风险评估服务机构开展自评估,应当签订风险评估协议；信息化主管部门委托开展检查评估，受委托的风险评估服务机构应当与被评估单位签订风险评估协议。

对于评估活动可能影响信息系统正常运行的，风险评估服务机构应当事先告知被评估单位，并协助其采取相应的预防措施。

第十三条 风险评估应当出具评估报告。评估报告应当包括评估范围、内容、依据、结论和整改建议等。

风险评估服务机构出具的自评估报告，应当经被评估单位认可，并经双方部门负责人签署后生效。

风险评估服务机构出具的检查评估报告，应当报委托其开展评估的主管部门审定；主管部门应当自收到评估报告之日起10个工作日内，将审定结果和整改意见告知被评估单位。第十四条 自评估单位应当根据自评估报告进行整改，并自报告生效之日起30日内，将自评估情况和整改方案报本级信息化主管部门备案。

接受检查评估的单位应当自收到检查评估报告之日起30日内，根据整改建议提出整改方案、明确整改时限，报本级信息化主管部门备案。

受委托进行风险评估的服务机构应当指导被评估单位开展整改，并对整改措施的有效性进行验证。第十五条 信息化主管部门应当定期公布已开展自评估、检查评估单位备案名单，督促未备案单位开展自评估。

第十六条 未发生重大变更的重要信息系统再次进行风险评估的，可以参考前次评估结果，重点评估以下内容：

（一）前次风险评估发现的主要问题及整改情况；

（二）核心网络设备、服务器、安全防护设施、应用软件等系统关键部位发生局部变更后，可能出现的安全隐患；

（三）新的信息技术可能对信息系统安全造成的影响；

（四）其他需要重点评估的内容。第三章 风险评估机构

第十七条 在本省行政区域内从事自评估服务的社会机构，应当具备下列条件，并报经其所在地省辖市信息化主管部门备案：

（一）依法在中国境内注册成立并在本省设有机构，由中国公民、法人投资或者由其它组织投资；

（二）从事信息安全检测、评估相关业务两年以上，无违法记录；

（三）专业评估人员不少于10人且均为中国公民，接受并通过相关培训考核，无违法记录；其中主要评估人员2人以上，具有由国家权威机构认定的或由其它机构认定的相当水平的信息安全服务资格，具备独立实施风险评估的技术能力;

（四）评估使用的技术装备、设施符合国家信息安全产品要求；

（五）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等内部管理制度；

（六）法律法规规定的其它条件。

第十八条 在本省从事检查评估的社会机构，除具备第十七条规定条件外，还应当同时具备下列条件，并经其所在地省辖市信息化主管部门审核后，报省信息化主管部门备案：

（一）具有国家权威机构认定的信息安全服务资质；

（二）评估人员不少于20人，其中主要评估人员4人以上，具有国家权威机构认定的或由其它机构认定的相当水平的信息安全服务资格。

第十九条 省辖市以上信息化主管部门应当自收到备案申请报告之日起10个工作日内，告知备案结果，并定期向社会公布本行政区域内风险评估服务机构备案名单，对其服务进行管理、监督。

第二十条 从事风险评估服务的机构，应当履行下列义务：

（一）遵守国家有关法律法规和技术标准，提供科学、安全、客观、公正的评估服务，保证评估的质量和效果；

（二）保守在评估活动中知悉的国家秘密、商业秘密和个人隐私，防范安全风险，不得私自占有、使用或向第三方泄露相关技术数据、业务资料等信息和资源；

（三）对服务人员进行安全保密教育，签订服务人员安全保密责任书，并负责检查落实。第四章 监督管理

第二十一条 违反本办法，有以下行为之一的，由信息化主管部门责令其限期改正，逾期不改正的，予以通报；对直接责任人员，由所在单位或上级主管部门视情给予行政处分：

（一）违反第九条、第十条规定，信息系统的建设、运营或者使用单位未按照规定开展自评估；重要信息系统的建设、运营或者使用单位不接受、不配合开展检查评估的；

（二）违反第十四条规定，自评估单位未按照规定将自评估情况和整改方案、接受检查评估单位未按照规定将整改方案报本级信息化主管部门备案的；

（三）违反第八条规定，信息系统的建设、运营或者使用单位委托不符合条件的机构进行风险评估，并造成不良后果的。第二十二条 违反本办法第十二条规定，风险评估服务机构未事先告知被评估单位、协助其采取预防措施的，由信息化主管部门责令限期改正，并给予警告；造成不良后果的，可视情暂停其备案1年，直至取消其备案。

第二十三条 违反本办法第二十条规定，风险评估服务机构未经许可向第三方提供被评估单位相关信息的，或者从事影响评估客观、公正的活动的，由信息化主管部门视情暂停其备案一年，直至取消其备案。造成被评估单位经济损失的，应予合理赔偿；从中不当获利的，应予退还；构成犯罪的，应依法追究其刑事责任。

第二十四条 信息化主管部门或其他有关部门工作人员有下列行为之一的，由其监察部门或上级主管部门视情对相关责任人员给予行政处分；构成犯罪的，依法追究刑事责任：

（一）利用职权索取、收受贿赂，或者玩忽职守、滥用职权的；

（二）泄露信息系统的运营、使用单位或者个人的有关信息、资料及数据文件的。第五章 附 则

第二十五条 本办法自发布之日起施行，由省信息化主管部门负责解释。

第五篇：流域洪水风险分析与定量评估

流域洪水风险分析与定量评估 引言

我国的洪涝灾害从出现频率、影响范围到造成的损失都是世界最为严重的国家之一。据统计，在过去的2000多年中，中国发生的有史料可查的重大洪水灾害就达1600余次。新中国成立以来，经过40多年的治理，全国江河流域的防洪形势有了重大改观。但是，由于洪水的影响因素众多和人类对自然界认知的局限性，目前尚无法从确定性的角度预知未来相当长时期内洪水发生的确切时间和真实过程，加之经济条件的限制和出于环境方面的考虑，洪水灾害目前还难以彻底防范或根本消除。近年来，随着人口的持续增长和经济的迅猛发展，我国洪涝损失具有逐年增大的趋势。在新形势下，建立洪水风险的概念，使人们经常认识到洪水发生的可能性和洪灾的后果，将有助于机构和个人更好地防范洪水灾害。

洪水风险是指未来可能引起灾害性后果洪水发生的概率或频率，洪水风险图则是对洪水风险及后果定量化和图形化的体现。一般，洪水风险图应该是三位一体的组合：

（1）流域洪水发生的频率；

（2）流域类洪水的淹水区域分布及有关说明；

（3）洪水灾害可能造成的各类损失。

洪水风险图可以使人们更直观地了解和认识到灾难性洪水发生后可能的水文后果和灾害损失概况，及时做好防御洪水的准备，以防患于未然。防洪决策人员可以对于流域重大的洪涝灾害发生的原因和可能后果做到胸中有数，在灾情即将发生或已经发生时，能够做到临危不乱，迅速制定合理的调度方案和采取正确抢险救灾措施，将洪灾损失减少到最小程度。2 分析流域洪水淹没状况的方法

2.1 实际洪水法

实际洪水法的基本假定是流域自然地理特征保持基本不变条件下，洪水具有重现性。因此流域历史上已经发生过的大洪水实际淹没实况，可以作为现在和未来同类洪水重现时的淹没状态。分析历史洪水淹没实况主要有以下几种途径：

（1）对于近期发生的洪水，利用流域实测水文资料和灾情资料可以较为可靠地分析洪水特性及相应的淹没范围、淹没深度和淹没时间。

（2）对于缺乏资料或年代较为久远的洪水，可以通过调查考证的途径[1]分析洪水发生时的淹没情况。调查考证的内容包括对沿洪水路径洪痕调查，查阅有关洪涝灾情的历史文献记载，走访洪泛区居民等。

（3）洪水径流是塑造地貌的重要外力，洪流的侵蚀、搬运和堆积作用形成的洪水地貌包括废河道、天然冲积堤、冲积扇（洪积平原）、河漫滩（冲积平原）、沼泽地、三角洲等[2]。通过对洪水地貌分析，可以大致上分析出洪水径流的强度、范围和水深，作为分析淹没实况的依据。

（4）对于河流早已改道远古时代发生的大洪水，可以通过水文地质地貌分析并结合水力学方法估计古洪水的水位和流量，近似推算古洪水重现时的淹没情况。

实际洪水分析途径主要适合于天然流域，一般不能估计流域城市化、防洪工程和防洪措施的效应。

2.2 水文学和水力学方法

水文学和水力学方法是根据流域现状或规划条件下土地利用特征和工程条件，采用水文学和水力学方法分析推求流域洪水泛滥后的淹没状况。目前国内外流行的水文学和水力学方法和模型众多，采用何种方法和模型应该针对流域水文地理特征、工程调度方式、资料条件以及计算精度来选择应用。

（1）由设计暴雨推求设计洪峰或设计洪水过程线可以采用水文学方法，如推理方法、径流系数折算法、先损后损法、下渗曲线法、降雨径流相关图法、蓄满产流模型、超渗产流模型[5]等。

（2）由设计洪峰推求河道洪水位，可采用水面曲线法、回水曲线法、经验公式等。位于河道洪水位以下的区域可作为可能的洪水淹没区域作进一步分析。

（3）由设计洪水过程线推求水位过程线，常用的水文学方法包括单位线法、等流时线法、抵偿河长法、马斯京根法、调蓄演算法[3]等。

（4）对于河网汇流或坡面漫流计算采用水力学方法比较合适，如一维非恒定流和二维非恒定流方法[4]，以及它们的简化形式等。采用水力学方法可以根据分析要求推求河道或流域水深、流量、蓄水量的时空分布。

水文学和水力学方法计算结果频率概念明确，可以分析和模拟土地利用、工程建设、调度方式、边界条件变化情况下的洪水状态，在洪水风险分析中应用较为广泛。3 洪灾损失统计评估

3.1流域社会和经济特征统计

对流域的社会和经济数据应分门别类进行统计或估算。各种资料来源应尽可能，可以采用当年或上本地区社会和经济统计年鉴。在有条件情况下，应该直接去当地收集最新和更详细的资料，以满足洪灾损失估算的要求。需统计的基本资料包括：

（1）城镇和村乡人口、土地利用情况、耕地面积；

（2）各工矿企业固定资产和工业产值；

（3）农、林、牧、副、渔业产值及固定资产；

（4）单位和居民固定资产；

（5）服务和社会性行业产值和固定资产；

（6）公路、铁路、通信、供水、供气等各类生命线的分布；

（7）参加洪水保险的企业、居民数和保险金额。

3.2洪灾损失评估

一般，洪灾损失评估内容包括这样几个方面：

（1）灾害影响的范围和强度。范围用面积或区域表示；灾害强度定性为若干级，如特大、重大、大、中、小等；

（2）造成的经济损失。按工业损失、农业损失、商业损失、居民损失、其它行业损失等分类统计，也可以分地区统计；

（3）生命线受害统计。所谓生命线系指交通系统、供电系统、供水系统、供气系统、邮电系统等，一般可按系统中断时间计；

（4）人员伤亡数目；

（5）环境污染及疾病传播情况；

（6）社会影响。

经济损失评估是灾情评估的主要内容，但人员伤亡、水源污染、疾病流行、社会不安定、生命线受损影响等是无法用货币表示的无形损失，在评估过程中须单列考虑。

洪水灾害所造成的经济损失包括直接损失和间接损失。直接损失主要是由于洪水直接淹没所造成的集体及个人财产损失；间接损失指由于洪水期交通、电力中断，厂房、设备受损等造成的产品成本增加及停产、误工损失，以及合同无法按期完成的违约损失等，还包括防洪抢险、灾民撤离、疾病防治、灾后恢复等费用。由于对间接损失的详细分析和精确估计是很困难的，一般是根据典型实例的调查结果或经验估计得出间接损失占直接损失的百分数来作为间接洪灾损失估算的依据。

对于不同灾区，由于地形地貌、经济状况、季节、淹没程度、抢救措施的差别，洪灾损失是不同的。但对于确定地区，洪灾损失的影响因素主要是淹没程度。如果资料充足，能够分区分类建立洪灾损失与淹没水深、淹没历时之间的相关系，则灾情损失评估结果更为方便和可靠。洪水风险图绘制

针对某一风险的洪水，根据分析和计算洪水淹没的范围、深度及相应的经济损失，按一定的规格描绘和标明在流域地形图上，便得出洪水风险图。

洪水风险图采用大比例尺地形素图勾绘而成，比例尺大小可根据流域面积、洪水频率、淹没范围、资料条件以及精度要求而定。在勾绘洪水淹没范围的边界时，要考虑洪水的可能路径，结合地形情况，由比较熟悉当地地形且有经验的技术人员绘制，最好在实地查勘后进行。对可能淹没区域，应设置彩色编码区，其颜色及深浅可以表示淹没深度的变化。风险图上应标注重要部门和单位，如政府机关、大型厂矿企业、学校、医院、金融机构、居民区、村镇，以及重要设施，水利工程，交通枢纽，通讯线路等。另外，图上应明确标明紧急情况下人员转移、疏散的路线及地点。图的下方有专门说明框，简要说明洪水风险图的基本特性，包括暴雨洪水频率、淹没区域、淹没水深、淹没历时、流域社会经济主要特征值、淹没区经济损失评估结果等。另外还需说明风险图上各种标记、代号的含义。

洪水风险图绘制完成后，应出具一份编制说明，内容主要包括：

（1）流域水文、气象和地理特征，排水系统和水利工程概况，历史上典型洪涝灾害特点及后果；

（2）流域社会经济特征统计；

（3）分区域阐述风险图上洪水灾害的特点和性质，灾害后果和经济损失；

（4）洪水风险图的制作依据、方法和存在问题；

（5）洪水风险发生时的应急措施；

（6）洪水风险图的应用范畴；

（7）其它说明事项。

结语

流域洪水风险图可以定量和直观地描绘遭受洪水淹没风险的区域和洪灾造成的损失，属流域非工程防洪措施之一。通过洪水风险图提高了全民防洪意识，为各级政府指挥抗洪提供了决策依据，具有现实的社会效益和经济效益。

本文简要论述和分析了适合于流域洪水风险图编制的一些方法，侧重讨论了推求洪水淹没状态的若干途径以及洪灾损失统计评估的内容。虽然其中的一些理论和方法还不够成熟和完善，但出发点是希望有助于流域洪水风险图编制工作的深入开展。今后将在洪水风险分析领域作进一步的研究工作。水库防洪调度风险分析研究进展与发展趋势

 简介：水库防洪调度风险分析是极其复杂的多目标风险评价问题。在前人研究工作的基础上，阐述了水库防洪调度风险分析的含义，从水库调度风险分析的特点、范围、对象和规模上对其在国内研究进展进行分析，进而对水库防洪调度风险分析发展趋势进行展望。

关键字：水库,调度,防洪,风险分析 

由于洪水设计计算、洪水预报、水库调度等诸方面存在众多不确定性因素，在汛限水位抬高后，有可能导致水库防洪运用过程中出现风险。为了实现兴利效益与防洪目标的最佳结合，需对不同汛限水位相应的防洪风险进行分析，为防汛限制水位的正确选择提供科学依据。

一、水库防洪调度风险分析的含义

1．风险的含义

风险包括两方面的含义：一是指风险意味着出现了损失，或者是未实现预期的目标值。二是指这种损失出现与否是一种不确定性现象，它可用概率表示出现的可能程度，而不能对出现与否做出确定性判断。

2．水库防洪调度风险的含义

有关水库防洪调度风险的定义较多，概括起来，泛指在特定时空环境条件下，水库防洪调度运用过程中所发生的非期望事件。

3．水库防洪调度风险分析的含义

水库防洪调度风险分析是指对水库防洪调度中存在的各种风险进行识别、估计、评价，并在此基础上优化组合各种风险管理技术，作出风险决策。

二、水库调度风险分析在国内的研究现状

20世纪80年代初，水库运用风险问题在我国已经引起重视，经过20多年的研究，取得了一些成果。根据水库防洪调度风险分析的特点、范围、对象和规模的不同，可分以下几个类型。

1．水库来水预报风险分析

宋榜科等以柴河水库为例，详细地介绍了水库雨情自动测报系统的风险分析方法，首次将“重现期法”“安全系数法”引进到水库雨情自动测报系统的风险分析中。徐玉英等将改进的一次二阶矩法应用于水库洪水预报子系统的风险分析中，对水库洪水预报子系统的风险做了定义和描述，并对风险率进行了定量计算。王本德等将标准风险评估方法应用到水库洪水标准的风险分析中，并以柴河水库为例说明水库洪水标准的风险分析方法是可行的。

2．水库调度风险分析

田峰巍等结合黄河干流水库调度，对实施运用中的径流用水预报值、误差修正、风险决策等几个关键问题进行了研究。冯平等根据风险决策理论，通过概率组合方法估算了水库的实际防洪能力，然后与水库的设计防洪标准进行比较，判断水库提高汛限水位的可能性，并通过风险效益的分析定量给出合理的汛限水位。黄强等针对水库调度风险问题，着重探讨了定量风险分析方法中的概率与数理统计分析法、模拟分析法、马尔柯夫过程分析法和模糊数学分析法，引入了不同的风险决策方法。傅湘等以三峡水库为研究对象，采用系统分析方法建立了水库汛期限制水位的风险分析模型，帮助决策者作出符合科学原则的风险决策。

3．水库防洪泄洪能力风险分析

徐祖信等提出了开敞式溢洪道水力设计中风险的计算模式，将JC法用于泄洪风险。郑管平等综合考虑了水文和水工方面的不确定因素对溢流坝泄洪能力的影响。姜树海用JC方法进行了泄水构件免空化概率极限设计的计算和分析。金明系统研究了水力不确定性在防洪泄洪系统风险分析中的作用。储祥元以FOSM法进行参数估计，以MC法结合拟优选择的办法求得泄流能力的最佳概率模型。姜树海推导了调洪演算Ito方程，求解了与泄洪风险率紧密相关的库水位过程的概率密度分布。朱元牲等就水库安全设计与垮坝风险问题进行了研究，认为设计标准应因地而异和因时而异。杨白银等研究了单一和梯级水库两种泄洪风险分析模式，将JC法引入水库泄洪风险分析计算中。王长新等对泄洪消能风险计算的JC法和MC法进行了对比。姜树海建立了漫坝失事的随机模糊风险分析模型。熊明提出了大坝防洪安全风险计算的原则、方法及适用条件等。

4．水库多目标风险分析

王本德等建立了水库防洪实时风险调度模型，该模型考虑了水库下游防洪效益与水库风险两个目标。1991年，国内专家选用某水利工程防洪、发电、航运、建设投资和移民费用等作为该水利枢纽经济风险分析的基本风险变量，采用三角形分布求得基本风险变量的概率分布，然后用蒙特卡洛法推求该工程总体经济效益的概率分布。1995年，针对期望值方法的不足，将分区多目标风险分析方法应用到防洪系统的最优规模决策之中，充分考虑了防洪安全、经济发展和洪灾风险之间的关系，以利于正确优选防洪体系和相应的规模。1998年结合水电工程的实际，建立了经济评价多目标风险分析模型，提出利用风险概念，结合改进后的ELECTRE-2方法，同时利用随机优选法结合线性分配法来求解上述模型，然后再用集结技术进行方案的最后排序，以利于好中取优。

三、存在的不足及发展趋势 经过20多年的努力，水库防洪调度风险分析研究取得了许多可喜的成果，但由于水库调度系统结构复杂，涉及面广，影响因素众多，无论在理论、方法上，还是在应用上都尚未达到完善的地步。

1．对多目标、多因素重视和研究不够

目前水库防洪调度风险分析只考虑单目标或单因素，造成水库防洪调度风险分析的结果缺少客观实用性。因此，今后在水库防洪调度风险分析中，应综合考虑多目标、多风险因素下对水库防洪调度的影响，使风险分析的结果更好的指导水库的实际运用。

2．未充分考虑主观人为因素

在水库防洪调度风险分析主要风险因素的识别中，只重视客观因素，未充分考虑主观的人为因素，造成分析结果不合理，不能合理有效地利用水资源。在众多风险因素中，主观人为因素是不可忽视的。因此，今后应充分研究主观人为因素在风险分析中的概率分布，使主观估计的量化更贴近实际，从而使风险分析更加全面、合理。

3．新的风险分析理论和方法应用不多

水库防洪调度的风险分析方法一般分为定性分析法和定量分析法。定性分析法主要用于风险可测度很小的风险主体，常用的方法有调查法、矩阵分析法和德尔菲法。这类方法主要是借助于有关专家的知识、经验和判断来对风险加以估计和分析。但在水库调度中有些不确定性因素难以分析、计算，如调度决策和实施的不确定性等。定量风险分析方法是借助数学工具研究风险主体中的数量特征关系和变化，确定其风险率(或风险度)的方法。定量风险分析方法有许多，但归纳起来可分为概率论与数理统计方法、随机模拟方法、马尔柯夫过程方法、模糊数学方法等。这些方法应用于水库调度系统时受到一定的限制。随着科学技术的进步，各学科相互渗透，应把别的学科的科学成果引用过来，如人工神经网络——蒙特卡罗法、结构分析法、耦合理论等，这些方法对于随机现象、互相关联、非线性等风险分析问题充分显示了优越性。在水库防洪调度风险分析中应用这些新的理论和方法，不仅能促进这些方法本身的实际应用，同时也是对风险分析理论和实践的有益探索。