Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
系统理论过程分析（STPA）推荐实践：跨行业安全关键系统评估指南
系统理论过程分析（STPA）是一种基于系统理论的安全评估方法，由MIT教授Nancy Leveson团队提出。SAE J3187-2023将STPA正式化为一项推荐实践，并适用于所有行业的安全关键系统。该方法通过建模控制结构、识别不安全控制行动及因果场景，从系统交互层面向下推导安全需求，有效弥补传统方法对软件人因与涌现行为分析的不足。
STPA基础方法与系统工程视角
STPA的核心起点是定义“损失”（Loss）与“危险”（Hazard）。损失指不可接受的结果，如人员伤亡、财产损害、任务失败；危险则是系统状态或条件，在一定环境下可能导致损失。在明确这些后，团队构建系统控制结构，描述控制器、执行器、传感器及交互。这一结构不仅包含自动化系统，还必须纳入人类操作员等角色。
从系统工程视角，STPA应在设计早期介入，通过迭代优化架构与安全约束。例如，在概念定义阶段创建高层控制结构，逐步细化至系统与组件级。该观点强调系统交互及涌现行为，而非单一组件可靠性，从而更适应现代复杂系统。
🔍 工程洞察：STPA的最大价值在于将安全分析从“事后验证”转移到“设计集成”。通过识别不安全控制行动（例如：加速指令提供过早、制动信号丢失等），团队可在开发初期形成安全需求。此外，STPA能与ISO 26262、ISO 21448（SOTIF）等标准协同，共同构建全面的安全论证。
STPA实施关键步骤
依据SAE J3187-2023，STPA包括六个主要步骤，每一步均有明确的输入与输出。下表总结了各步骤的方法与要点：
| 步骤 | 方法概要 | 关键产出 | 实践提示 |
|---|---|---|---|
| 1. 识别损失与危险 | 界定不可接受损失，推导系统级危险状态 | 损失清单、危险清单 | 明确系统边界，危险应为系统状态而非事件 |
| 2. 定义系统级约束 | 基于危险导出安全目标（安全约束） | 系统级安全约束 | 约束应可度量为系统设计提供界限 |
| 3. 构建控制结构 | 绘制控制器、执行器、传感器及反馈回路 | 控制结构图 | 包含人机交互，层次化建模 |
| 4. 识别不安全控制行动 | 针对每个控制行动评估四种类型：未提供、提供不当、提供过早/过晚、停止过早/过晚 | UCA表 | 使用引导词（如Providing causes hazard）系统化展开 |
| 5. 定义因果场景 | 分析导致每个UCA的潜在原因，包括组件故障、时序问题、人因等 | 因果场景文档 | 考虑环境、操作模式、恶意操纵等 |
| 6. 生成安全需求 | 针对每个场景制定可验证的需求 | 安全需求规格 | 需求应融入现有开发流程 |
在实施中，团队常借助可视化工具协作，并通过“STPA Handbook”等资源获取引导。值得注意的是，因果场景不应局限于随机故障，还需涵盖设计错误、交互冲突及人机接口问题。
常见误区与FAQ
⚠️ 常见误区警示：
- 范围不当：分析范围过窄或过宽均会影响效果，需以危害为导向定义。
- 控制结构不完整：忽略人或外部系统控制将导致缺失关键场景。
- 混淆危险与事故：危险是系统状态，事故（损失）是后果，两者必须严格区分。
- UCA探索不充分：每个控制行动应系统检查四种不安全模式。
- 场景单一化：每个UCA应探索多个因果路径，包括系统性因素。
- 缺乏设计工程师参与：STPA应跨学科团队协作，而非安全部门独立完成。
- 替代其他方法：STPA是补充而非替代，与FMEA、HAZOP等结合效果更佳。
STPA适用于哪些类型的安全关键系统？
SAE J3187-2023明确其适用于任何行业的安全关键系统，包括且不限于汽车、航空、铁路、医疗器械、核电、工业自动化和国防系统。其方法独立于具体技术域，聚焦控制结构与交互。
如何在项目早期启动STPA？
STPA可在概念阶段即启动。首先定义系统损失与危险，构建高层级控制结构，识别主要控制行动。随着设计细化，控制结构逐渐细化。这种自上而下的方式使安全需求与架构演进同步，实现“安全驱动设计”。
STPA与HAZOP的主要区别是什么？
HAZOP基于引导词与工艺参数，偏向于识别过程偏差；而STPA基于控制理论，关注控制行动与反馈交互。STPA更能处理软件逻辑、人为决策及涌现行为，适合复杂智能系统。两者可以互补使用。
STPA如何处理人机交互（HMI）？
STPA要求控制结构包含人类操作员作为控制器，并分析人机接口中的信息反馈与行动触发。通过识别潜在的人因错误（如误读显示、响应延迟、过信自动化），可生成改善界面设计与训练的需求。J3187-2023原包含HMI附录，后独立成单独文档，但其方法论基础仍在主标准中强调。
