介绍一种用于管理STPA（安全技术性能要求）的可扩展框架：以eVTOL（电动垂直起降飞机）运营为例的案例研究

《Safety Science》：Introducing a scalable framework for the management of STPA requirements: A case study on eVTOL operations

　　陈书峰|哈尔希玛·埃尔·巴达乌伊|玛丽亚特·詹姆斯·伊丽莎白|中岛拓也|克里斯·布斯|西达莎·卡斯特吉尔|保罗·詹宁斯
WMG，华威大学，6 Lord Bhattacharyya Way，考文垂，CV4 7AL，英国

**摘要**
系统论过程分析（STPA）是一种推荐用于分析复杂社会技术系统的方法，能够生成涵盖组织、人员、软件和操作交互的安全要求。这些要求中有很多可能无法通过传统的基于故障的方法（如故障模式与效应分析（FMEA）或故障树分析（FTA）揭示出来。这些要求的多样性和定性特征，再加上缺乏基于概率的风险指标，给优先级排序和实施带来了挑战，尤其是在快节奏的开发环境中。本文提出了一个可扩展的框架，用于管理和优先处理从STPA中得出的要求。该框架整合了每个STPA步骤的输出，并结合了使用四个关键因素的主体专家评估：实施时间、成本、要求类型和法规覆盖范围。为了减少专家输入的主观性，采用了蒙特卡洛模拟（MCS）通过不确定性建模来稳定排名。一个自动化工具链支持该框架，生成动态缩放的优先级矩阵，改善了开发阶段的沟通、可追溯性和决策制定。该框架通过与英国民航局合作开展的电动垂直起降（eVTOL）运作的实际案例研究得到了验证。所得到的优先级要求为CAP3141做出了贡献，这是一份针对监管机构、运营者和垂直起降场的系统性操作风险及缓解措施的出版物。这项工作为结构化和优先处理STPA输出以及支持新兴航空技术中的安全关键开发提供了一种实用的方法。该框架存在固有的局限性：它不包含基于概率的风险指标，依赖于定性的主体专家（SME）评估，并且仅在单一的eVTOL背景下得到了验证，表明需要进一步的研究来证明其更广泛的适用性。

**引言**
随着技术和社会技术系统复杂性的增加，开发了许多新的安全分析方法，以确保不会忽略由于系统新特性而产生的安全关键要求。系统论过程分析（STPA）是一种基于系统思维的方法，起源于麻省理工学院（MIT）。STPA基于系统论事故模型和过程（STAMP），它认为事故是由于控制不足而不是单一组件故障造成的。STPA提供了一个四步分析流程，使用控制结构来识别不安全控制行为（UCAs）及其可能导致的场景（Leveson, 2016）。STPA已在不同领域得到了应用（Sadeghi和Goerlandt, 2023），包括航空（Allison等人, 2017; Schmid和Stanton, 2018）、医疗行业（Wong等人, 2020; Yamaguchi和Thomas, 2019; Chen等人, 2021）、海事（Yang等人, 2020; Ventikos等人, 2020; Nakashima等人, 2025）、汽车（Zhou等人, 2019; Khastgir等人, 2021; Chen等人, 2020; Tonk和Boussif, 2024; Riccardi等人, 2025; Chen等人, 2025）以及大型语言模型（LLM）领域（Qi等人, 2025）。特别是在航空领域，STPA被公认为是推荐的方法（Thomas和Van Houdt, 2024）。它被认为是识别其他传统方法（如故障树分析（FTA）、故障模式与效应分析（FMEA）和危险与操作性研究（HAZOP）无法识别的要求的有效方法，因为这些方法在处理现代社会技术系统的复杂性方面存在局限。相比之下，基于STAMP框架的STPA采用了一种系统思维方法，将安全视为组织、人员、软件和硬件元素交互的涌现属性（James Elizebeth等人, 2023）。即使在系统开发初期可用信息非常有限的情况下，也可以应用STPA。作为一种演绎方法，它从利益相关者的参与开始，识别必须防止的任何不可接受的损失（即步骤1）。然后创建表示系统利益相关者交互的控制结构，形式为嵌套的控制循环（即步骤2）。基于这些控制结构，分析每个控制结构以了解它们如何表现为不安全控制行为（即步骤3）。接着进一步分析每个不安全控制行为及其相关的控制循环，以确定可能的因果因素（CF）以及防止或检测这些CF的要求（即步骤4）。对于像自动驾驶车辆生态系统或直升机操作这样的复杂系统，STPA可以识别出大量的要求。尽管STPA常被认为能够揭示广泛的安全要求，但这不仅仅是数量上的广度，还反映了所产生的要求类型的多样性，从高级安全约束到详细的技术、程序、组织和操作要求。这些输出跨越了多个抽象层次和利益相关者的责任，使其与基于概率的传统方法（如FMEA或FTA）得出的要求截然不同。正是这种要求类型的多样性，而非仅仅是数量的多寡，使得实施排序变得复杂，并需要一个结构化的优先级框架（Leveson和Thomas, 2018）。

**要求优先级排序**
要求优先级排序是确定要求相对重要性或紧迫性的过程，以指导系统开发过程中的决策。它帮助利益相关者确定首先实施的内容，确保最宝贵的特性能够尽早交付，并有效分配资源。已经开发了许多方法来优化要求工程过程，包括MoSCoW（Kravchenko等人, 2022）、（分析层次过程）AHP（Kriswardhana等人, 2025）、累积投票（Cagliero等人, 2021）和Kano模型（Slevitch, 2025）等。然而，这些方法仍然存在局限性，如主观性强、缺乏可扩展性、结果沟通不足和变更管理问题（K?van?等人, 2025），使得在管理复杂系统的要求时适用性较低。鉴于现有要求优先级排序技术的这些局限性，本文旨在解决以下研究问题：
- RQ1：如何有效实施从STPA中识别的要求，以确保系统的安全运行？
- RQ2：如何客观地优先考虑STPA识别的所有要求？
- RQ3：如何更好地向利益相关者传达已优先排序的要求？

本文提出了一个优化STPA要求优先级的新框架。该框架设计为能够参数化并利用STPA前几步的输出。我们之前关于UCAs优先级排序框架的工作已经介绍过，其中使用了诸如预缓解严重性（PMS）、控制器影响因子（CIF）和专家判断（EJ）得分等因素（El Badaoui等人, 2025）。为简便起见，在本文中我们将其称为PUCA框架。作为进一步的发展，本文还介绍了一个专注于要求优先级排序的新框架，即PREQ框架。PREQ框架是本文的主要贡献，它利用了PUCA框架输出的UCAs优先级。PUCA和PREQ是互补的，PUCA关注UCAs的优先级排序，而PREQ则关注要求优先级排序，部分利用了PUCA的输出。表1提供了PUCA和PREQ的范围和因素的比较。

**工作的新颖性**
本文的工作新颖之处在于所提出框架的早期适用性。与依赖于所有要求的完整识别不同，PREQ可以在系统开发的初期阶段集成，并与STPA的实施并行进行。除了UCAs优先级（PUCA的输出）外，该框架还结合了专家输入到要求排名过程中，然后使用蒙特卡洛模拟（MCS）来最小化排名的主观性。计算由自动化工具链支持，结果可以自动映射到动态缩放矩阵中。这使框架能够在开发的初始概念阶段扩展到高级系统，随着开发的进展再扩展到更复杂的系统。该矩阵提供了对排名要求集的清晰可视化，有助于进一步的决策制定。该框架应用于一个旨在改进电动垂直起降（eVTOL）安全操作的实际项目，这是一个需要持续识别、优先排序和管理要求的新发展领域。所提出的优先级排序框架显著促进了整个开发过程中的决策制定。

**STPA派生要求的挑战及优先级排序的必要性**
在STPA中，需要优先排序要求不仅因为分析可能产生大量输出，还因为这些输出包含在抽象、范围和可实现性方面存在显著差异的各种安全要求。当这些异构要求呈现给端到端的利益相关者时，可能包括重复的、重叠的或在操作上难以实施的元素，从而降低了过程的效率和实用性。

**方法论**
整个过程的总体流程图如图1所示。它包括标准的STPA过程（即黄色区域）、其UCAs优先级排序的扩展（即红色区域），以及要求优先级排序的扩展步骤（即蓝色区域）。图2详细展示了第4步的扩展流程图。为了实现对要求的优先排序，需要两个参数：UCAs优先级和要求优先级。

**案例研究和结果**
本工作是对先前关于UCAs优先级排序研究的扩展（El Badaoui等人, 2025），是在WMG与CAA的合作背景下进行的。其中，eVTOL安全领导小组（eVSLG）的风险小组利用STPA结果来突出监管漏洞并解决这些问题。为确保过程反映与eVTOL操作相关的监管和操作视角的广泛性，CAA的多个部门参与了研讨会。

**讨论**
STPA已被公认是一种推荐的方法，用于分析日益复杂的现代系统，以识别传统方法可能忽略的安全关键问题和要求。然而，特别是在快节奏的开发周期中，仍有改进STPA过程的必要。本文介绍了一个可扩展的框架，用于实现STPA要求的优先排序。它不需要对标准STPA过程进行任何修改。

**结论**
本文提出了一种新颖的PREQ框架，用于优先处理从STPA中得出的安全要求。该框架利用了STPA所有关键步骤的输出，包括损失识别（步骤1）、控制结构（步骤2）和不安全控制行为（UCAs）（步骤3），从而能够在分析过程早期开始优先排序。除了安全分析师提供的排名外，该框架还结合了主题专家（SMEs）的输入，确保了更……

**作者署名声明**
陈书峰：撰写——原始草稿、可视化、验证、方法论。
哈尔希玛·埃尔·巴达乌伊：撰写——原始草稿、方法论。
玛丽亚特·詹姆斯·伊丽莎白：验证、方法论。
中岛拓也：验证。
克里斯·布斯：可视化。
西达莎·卡斯特吉尔：验证、方法论。
保罗·詹宁斯：资源。

**利益冲突声明**
作者声明他们没有已知的财务利益冲突或个人关系，这些关系可能影响本文所述的工作。

**致谢**
本文所述的工作得到了英国民航局（GFA 3549）的资助。作者还要感谢WMG HVM Catapult中心和华威大学WMG提供的必要基础设施，以进行这项研究。WMG是组成英国高价值制造Catapult的七个中心之一。