系统理论过程分析（STPA）

先理解这个方法

解决什么问题

R40分析部件失效，R41覆盖机械风险评估。STPA另问：即使各部件都按设计工作，某个控制动作在特定情境下是否仍会造成损失？这适合涉及软件、传感、操作人员和执行机构的机电创新，而不是替代既有安全与可靠性方法。

为什么有效

先明确不可接受损失、系统危险状态与约束，建立控制与反馈关系，再识别控制动作未给出、给出、时序不当或持续时间不当可能导致的危险。进一步追查错误反馈、过程模型和执行链如何形成该情境。没有具体上下文的“动作危险”不是完整分析。

什么时候适合用

适合自动控制、人机共作或多主体协作系统的早期架构与变更分析。需要边界、损失相关方和可说明的控制结构。若只有孤立部件尺寸资料，应先补系统信息；不应由通用Agent独立批准安全放行。

一张图看懂结构

依据本档案的输入、步骤与产物生成；卡片按档案顺序排列，具体依赖以“承接”标注为准，不强制串行。未表示实际运行已完成。

1. 01明确损失危险与约束

   损失—危险—约束初稿

   起点或独立准备
2. 02建立控制反馈模型

   控制与反馈图及未知

   承接：明确损失危险与约束
3. 03逐情境检查控制动作

   上下文明确的UCA记录

   承接：建立控制反馈模型
4. 04追查场景并提出约束

   场景、约束及待补证

   承接：逐情境检查控制动作
5. 05专业审查与验证交接

   约束追溯与验证任务

   承接：追查场景并提出约束

一步一步怎么做

如何理解结果

结果是情境化不安全控制动作、因果场景候选与安全约束的追溯链，不是失效率计算、穷尽证明或认证。未发现某种危险不表示安全，控制约束写完也不表示实施有效。

例子与使用边界

跟着例子走一遍（教学示例）

平台教学分析：操作者要求停刀，但控制器把“电机停止”视作“刀具已脱离”，允许重新定位。需要调查残余接触、反馈时延和人工接管状态，而不是只问电机是否损坏。可能的约束方向是重新定位前需有适合本机构的状态确认；怎样确认、失效后怎样处理均需专业设计与验证，本条不提供可直接部署的安全控制方案。

容易走偏的地方

把不安全控制动作等同于元件故障；只写“算法错误”而不追问上下文；拿模型自评替代安全工程师；误以为STPA自动给出故障概率。反例：实际产品合规和防护设计仍需适用的工程流程、标准与专业审核，不能用本条图表替代。

怎样检查与验证

追溯每条控制情境到危险与损失，再核对反馈、控制权和异常模式。由具资质与任务经验的人员质询场景，结合故障注入、仿真或受控试验验证约束。尚未实施与验证的约束只能保留为设计要求提案。

用这些情境检查你的理解

以下为检查设想，未表示真实试验已经执行。

可以接着用哪些方法

平台适配说明

平台将控制动作—情境—危险—约束—验证问题映射成研究记录，并在割胶例中提示停刀、退刀、定位和接管之间的状态差异。这些工程场景为平台推演，不宣称MIT讲义证明某割胶方案危险或安全。

原典与依据

STPA属于Leveson等发展的STAMP系统安全研究谱系。本轮实际核读MIT发布的John Thomas 2025入门讲义相关页及MIT自动驾驶研究中的方法描述；手册PHP入口当前返回维护信息，不能声称已核读该手册全文。

尚待补证

已读2025讲义相关定义、控制环和UCA页及MIT研究相关描述；没有本机真实控制架构、反馈延迟、控制权规则或安全专家审阅。尚未核读完整2018手册，因此不宣称完整实施指南。

调用与档案

此条目目前可检索、阅读；尚无对应的执行契约，不代表可直接自动执行。

{
  "name": "method_supplement_get",
  "arguments": {
    "method_id": "R51"
  }
}

完整研究档案

结构字段和原始资料单独保留，便于复核与开发调用。