1、楊(William (Nancy 50械等等2防危性與安全性之間要精力和分析的重點(diǎn)放在如何構(gòu)建更好的損失防范策略（不管意圖如何（就像系統(tǒng)設(shè)計(jì)。生了核污染的原因可能是意外事故或是 。楊(William (Nancy 50械等等2防危性與安全性之間要精力和分析的重點(diǎn)放在如何構(gòu)建更好的損失防范策略（不管意圖如何（就像系統(tǒng)設(shè)計(jì)。生了核污染的原因可能是意外事故或是 。的，在安全領(lǐng)域被。采用最佳實(shí)踐（即戰(zhàn)術(shù)）（例如保護(hù)網(wǎng)絡(luò)和其他信息資源(ally identifiableinformation, PII) 丟失的安全斷的防御措施可以應(yīng)對(duì)所謂的簡但事實(shí)并非一定如此。的，在安全領(lǐng)域被。采用最佳實(shí)踐（即戰(zhàn)術(shù)）（

2、例如保護(hù)網(wǎng)絡(luò)和其他信息資源(ally identifiableinformation, PII) 丟失的安全斷的防御措施可以應(yīng)對(duì)所謂的簡但事實(shí)并非一定如此。“如何（(Robinson) 和特(Levitt)5，次化地證明應(yīng)急系統(tǒng)特性中，也考慮到了抽象的層次工作方式（或原因起始列表中的一個(gè)或多個(gè)元素（反之亦然一種新的安全和防危方法：系統(tǒng)-理論204050 年代，催生了現(xiàn)代系統(tǒng)理論1systems-theoreticaccident2andses“如何（(Robinson) 和特(Levitt)5，次化地證明應(yīng)急系統(tǒng)特性中，也考慮到了抽象的層次工作方式（或原因起始列表中的一個(gè)或多個(gè)元素（反之亦然一

3、種新的安全和防危方法：系統(tǒng)-理論204050 年代，催生了現(xiàn)代系統(tǒng)理論1systems-theoreticaccident2andses（實(shí)際的損失事件（奶酪中的孔洞，另一個(gè)常見的比喻于組件之間不安全的交互所造成的故障（可能各組件本身并未發(fā)生故障1（例如反饋信息意外丟失(Stuxnet)（控制器（命令，結(jié)果造成了設(shè)備損壞（也許很想避免的毀損程分析(system-theoretic sysis,STPA)2統(tǒng)的功能控制結(jié)構(gòu)示意圖2,41（例如反饋信息意外丟失(Stuxnet)（控制器（命令，結(jié)果造成了設(shè)備損壞（也許很想避免的毀損程分析(system-theoretic sysis,STPA)2統(tǒng)

4、的功能控制結(jié)構(gòu)示意圖2,4（）。(2) 未提供防范所需的控制行為（例如；(3)(4)（發(fā)射指令未能正確執(zhí)行STPA-Sec 是 STPASTPA 比較與評(píng)估后發(fā)現(xiàn)，STPA 不僅能夠發(fā)現(xiàn)傳統(tǒng)方法（效果分析）STPA 更加強(qiáng)大，但它所需資源（包括時(shí)間）SPTA-Sec 結(jié)認(rèn)。（發(fā)射指令未能正確執(zhí)行STPA-Sec 是 STPASTPA 比較與評(píng)估后發(fā)現(xiàn)，STPA 不僅能夠發(fā)現(xiàn)傳統(tǒng)方法（效果分析）STPA 更加強(qiáng)大，但它所需資源（包括時(shí)間）SPTA-Sec 結(jié)認(rèn)。（制的以（同樣如此的以（同樣如此到有的Checkland,P.SystemsThinking,SystemsPractice.JohnW

5、iley&Sons,NewYork,Leveson,N.G.EngineeringaSaferWorld,MITLeveson,N.andThomas,J.AnSTPA .4 Pereira, S.J., Lee, G. and Howard,J. A system-theoretic hazardysis methodology for a nonadvocatesafety assessment of theballistic missile defense system.In Proceedings of the Conference(Monterey,CA,Nov.5Robinson,L.andLevitt,K.N.Proofte