1、楊(William (Nancy 50械等等2防危性與安全性之間要精力和分析的重點放在如何構建更好的損失防范策略（不管意圖如何（就像系統設計。生了核污染的原因可能是意外事故或是 。楊(William (Nancy 50械等等2防危性與安全性之間要精力和分析的重點放在如何構建更好的損失防范策略（不管意圖如何（就像系統設計。生了核污染的原因可能是意外事故或是 。的，在安全領域被。采用最佳實踐（即戰術）（例如保護網絡和其他信息資源(ally identifiableinformation, PII) 丟失的安全斷的防御措施可以應對所謂的簡但事實并非一定如此。的，在安全領域被。采用最佳實踐（即戰術）（

2、例如保護網絡和其他信息資源(ally identifiableinformation, PII) 丟失的安全斷的防御措施可以應對所謂的簡但事實并非一定如此。“如何（(Robinson) 和特(Levitt)5，次化地證明應急系統特性中，也考慮到了抽象的層次工作方式（或原因起始列表中的一個或多個元素（反之亦然一種新的安全和防危方法：系統-理論204050 年代，催生了現代系統理論1systems-theoreticaccident2andses“如何（(Robinson) 和特(Levitt)5，次化地證明應急系統特性中，也考慮到了抽象的層次工作方式（或原因起始列表中的一個或多個元素（反之亦然一

3、種新的安全和防危方法：系統-理論204050 年代，催生了現代系統理論1systems-theoreticaccident2andses（實際的損失事件（奶酪中的孔洞，另一個常見的比喻于組件之間不安全的交互所造成的故障（可能各組件本身并未發生故障1（例如反饋信息意外丟失(Stuxnet)（控制器（命令，結果造成了設備損壞（也許很想避免的毀損程分析(system-theoretic sysis,STPA)2統的功能控制結構示意圖2,41（例如反饋信息意外丟失(Stuxnet)（控制器（命令，結果造成了設備損壞（也許很想避免的毀損程分析(system-theoretic sysis,STPA)2統

4、的功能控制結構示意圖2,4（）。(2) 未提供防范所需的控制行為（例如；(3)(4)（發射指令未能正確執行STPA-Sec 是 STPASTPA 比較與評估后發現，STPA 不僅能夠發現傳統方法（效果分析）STPA 更加強大，但它所需資源（包括時間）SPTA-Sec 結認。（發射指令未能正確執行STPA-Sec 是 STPASTPA 比較與評估后發現，STPA 不僅能夠發現傳統方法（效果分析）STPA 更加強大，但它所需資源（包括時間）SPTA-Sec 結認。（制的以（同樣如此的以（同樣如此到有的Checkland,P.SystemsThinking,SystemsPractice.JohnW

5、iley&Sons,NewYork,Leveson,N.G.EngineeringaSaferWorld,MITLeveson,N.andThomas,J.AnSTPA .4 Pereira, S.J., Lee, G. and Howard,J. A system-theoretic hazardysis methodology for a nonadvocatesafety assessment of theballistic missile defense system.In Proceedings of the Conference(Monterey,CA,Nov.5Robinson,L.andLevitt,K.N.Proofte