摘要

  • Leveson 提出的 STAMP 将安全放在整个社会技术控制系统中分析；部件可靠并不自动意味着系统安全。
  • STPA 面向尚未发生的损失，追问危险控制动作及其形成条件；CAST 从已经发生的事件回溯控制结构为何失守。
  • 两种方法都依赖真实的系统边界、及时反馈和可落实的约束，不会自动预测所有事故或生成安全设计。

设想一套自动制动装置：传感器如实报告了它看到的状态，程序严格执行预设规则，操作员也在正确时刻按下按钮。但装置正处于模式切换的缝隙，系统因此拒绝制动。“哪个零件坏了”未必是最有用的提问。更关键的是：为什么一项涉及人身安全的动作，要依赖一个可能落后于现实的状态判断？

这正是 Nancy Leveson 改变安全研究的切口。MIT 人物页列出她在航空航天、工程系统、软件安全及人机互动方面的工作。她在 2002 年的事故模型论文中主张超越归责和单一故障，研究技术设计、组织安排与决策如何共同塑造事故条件。2012 年的 《Engineering a Safer World》系统阐述了 STAMP，即系统理论事故模型与过程。

可靠性与安全有交集，却回答不同问题。可靠性关心部件是否按规格履行功能；安全关心整个系统是否避开不可接受的损失。部件失效当然可能导致事故，STAMP 并未将它排除。但两个正常工作的部件也可能在错误顺序下互相牵制；管理层、操作员与自动化系统可能分别依据不同版本的现场状态行动。把每个部件的合格证明相加，得不出系统在所有情境中都安全的结论。

分析应先区分损失与危险。损失是不能接受的结果，例如伤害；危险是系统在特定环境下可能通向该结果的状态。识别危险的价值，是在损失发生之前规定必须维持或避免的安全约束。此时画出的边界不能只圈住机器：操作、维护、管理、监管与交接中的权限和信息，也可能决定约束能否维持。

在一个控制回路里，控制者对受控过程发出控制动作，再从中获得反馈。控制者可以是程序、人，也可以是组织。它依据自己的过程模型判断当前状态。若传感数据迟到、维护记录没有传递、模式标识含糊，模型就可能与现实脱节。动作在控制者看来合乎规则，在真实情境下却违反了安全约束。

Leveson 与 John P. Thomas 合著的 STPA 手册把危险控制动作细分为四类：发出了不该发的动作；没有发出必要动作；动作过早、过晚或顺序错误；动作持续过久或过早停止。这里的关键不是给指令贴上“好”或“坏”的固定标签，而是检验它在具体条件中的效果。分析者还须追问反馈、权限、过程模型与工作压力怎样共同产生这种动作。

STAMP 是事故因果模型，不是分析步骤本身。 STPA 在设计和运行之前界定损失、危险与约束，建立控制结构，找出不安全动作和可能的因果场景，再把结论落实到设计、要求和运行。只画出框图不等于完成 STPA。CAST 则在损失之后重建各层控制者当时的信息、行动与约束，寻找可用于学习的系统原因。MIT 的方法手册目录明确区分了前瞻性的 STPA 与事后分析的 CAST。

这项工作有清晰的个人贡献，也有广泛的共同基础。Leveson 提出 STAMP 并持续推动研究；Thomas 与她共同编写 STPA 手册。MIT 的工作坊资料记录 William Young 在安全与网络安全交叉领域、Shem Malmquist 在 CAST 教学、Cody Fleming 在早期概念分析中的工作；论文目录也显示 Nicolas Dulac、Joel Cutcher-Gershenfeld 与更广泛社群在相关工程及组织安全研究中的参与。系统理论和控制理论本身亦有更早的历史，不能被归于一人。

方法的边界同样重要。STPA 能揭示传统故障链可能忽略的互动，却不能列尽未来每一种组合；CAST 能解释已知损失中的控制缺口，却无法还原从未记录的信息。模型边界、证据质量、跨岗位参与，以及后续真正改变权限或设计的能力，决定分析是否有用。部件故障仍需要可靠性工程处理。Leveson 的改变，是让人们无法再把它当作安全的全部解释。

来源