RASISO 26262中提及的STPA，以及支持所有安全分析的VisualPro
01摘要
02ISO/DIS 26262第三版草案提及了STPA
ISO 26262第三版目前处于国际标准草案阶段。投票于2026年10月14日开始，2027年1月6日结束，此后措辞和条款编号仍可能变化。本文基于草案第1至第10部分。第11部分（半导体）和第12部分（摩托车）未作审阅。
在十个部分的正文中，STPA共在两处被提及。
| 位置 | 内容 | 性质 |
|---|---|---|
| 第9部分第8.2条（安全分析，通则） | 定性分析方法列表：定性FMEA、定性FTA、HAZOP、STPA（参见SAE J3187）、定性ETA | 说明性文字中的示例列表 |
| 第10部分第13.6.1条的注 | 在探索危害场景时，可使用第9部分中的STPA等方法 | 关于功能安全与SOTIF之间交互的条款中的注 |
第9部分中的列表是以“包括但不限于”开头的说明性文字。要求条款（8.4）中没有STPA。第4部分和第5部分的方法表按ASIL推荐归纳分析和演绎分析，第6部分只规定遵循第9部分第8条。草案未将STPA归类为归纳或演绎方法中的任何一种。组织若要主张已通过STPA满足这些表中的推荐，必须自行提供依据。
简言之，在第三版草案中，STPA是一种“作为可使用的定性安全分析方法在标准正文中被提及”的方法。2018年版第9部分的同一列表中并没有STPA。还有一点：第8.4.1条要求依据适当的标准或指南开展安全分析。对于选择STPA的组织而言，草案所引用的SAE J3187即可作为该指南。
03ISO 26262的要求是什么
ISO 26262是一项功能安全标准，旨在防止道路车辆中电子电气（E/E）系统的故障行为所造成的伤害。它将跨行业标准IEC 61508转化为适用于汽车领域的标准，2011年发布第一版，2018年发布第二版。
整体流程从危害分析与风险评估（HARA）开始：对每个危害事件评定严重度（S）、暴露概率（E）和可控性（C），以确定从A到D的ASIL，并设定安全目标。安全目标被细化为功能安全要求，并分配给系统、硬件和软件。在每个阶段，通过安全分析检查设计是否可能违背其要求，并由测试和认可措施完成整个工作。在第三版草案中，ASIL确定表中的数值、硬件度量目标值（SPFM、LFM、PMHF）以及归纳与演绎分析的推荐等级均未改变。由于这是DIS，最终版中仍可能有所不同。
草案前言列出了八项主要变更，其中三项与安全分析有关。
- 定义了与预期功能安全（SOTIF，ISO 21448）的交互
- 定义了与其他技术（OT：机械、液压、化学等非E/E技术）的交互
- 纳入了预测性维护
04STPA加入的背景
草案并未解释加入STPA的原因。不过，阅读同一第8条中的语句，便能看出STPA将用于何处。
第8.1条在列举安全分析（视应用而定）所承担的工作时，将“识别在危害分析与风险评估中此前未识别出的新危害”放在首位。第8.4.5条要求将以此方式发现的危害纳入更新后的HARA。
第8.4.9条指出了定性分析必须系统识别的故障和失效的三个来源：相关项或要素本身、其与其他相关项或要素的交互，以及其使用。
第8.2条和第8.4.9条将故障或失效可能违背的要求描述为“包括与SOTIF相关的要求”。在没有任何失效的情况下产生的危害仍由ISO 21448处理，但这两种分析现在关注的是同一组要求。
FMEA从部件的失效模式出发，向上追踪其影响；FTA则从顶事件向下分析至原因组合。两者都擅长回答“什么会失效”。STPA的出发点不同。它将控制器、被控过程以及它们之间的控制行为和反馈建模为控制结构，然后寻找在特定情境下导致危害的控制行为（不安全控制行为，UCA）以及产生这些控制行为的场景。未提供所需的控制行为也属于UCA，STPA既涵盖没有任何失效的情况，也涵盖涉及失效的情况。驾驶员与系统之间、系统与系统之间的问题会在此显现。这正是上述第二点所指的范围。
| 方法 | 擅长发现的内容 | 较少涵盖的内容 |
|---|---|---|
| FMEA（以归纳为主） | 如果该部件或功能以这种方式失效，会发生什么 | 若按部件和失效模式开展，容易遗漏要素之间的交互（可通过功能FMEA和接口FMEA部分弥补） |
| FTA（以演绎为主） | 哪些失效组合会导致该事件，其可能性有多大 | 难以表达为失效事件的原因，例如各要素各自正常工作、但组合起来却存在危害的情况 |
| HAZOP | 偏离设计意图（过多、过少、过迟等）的原因和后果 | 对控制器决策与反馈相互交织的场景进行结构化 |
| 相关失效分析（DFA） | 使两个被认为相互独立的要素同时失效，或使一个失效传播到另一个要素的原因 | 单个要素的功能故障 |
| STPA | 在特定情境下变得危险的控制行为、交互以及使用情境 | 失效率和硬件度量计算。场景数量多，筛选工作量较大 |
STPA并不能取代FMEA或FTA。硬件度量仍通过定量FMEA（FMEDA）和FTA进行计算，草案对此部分未作改动。STPA也不是唯一处理交互的方法。同一列表中的HAZOP同样可以做到这一点。STPA最适用于控制结构复杂、人与软件决策相互交织的场合。
05需要开展的安全分析越来越多
逐条阅读草案可以发现，它要求针对同一相关项开展多项分析，并在分析之间建立关联。加入STPA后，数量还会增加。以下条款编号以DIS为准，最终版中可能变化。
| 草案内容 | 条款 | 实际工作中的含义 |
|---|---|---|
| E/E系统有助于预防或减轻的、与技术相关的危害也在HARA中处理 | 第3部分 6.4.6 | 如果相关项具有此类功能，触电等并非由E/E故障行为引起的危害将进入HARA表 |
| HARA验证会检查其与其他风险评估的一致性 | 第3部分 6.4.7.1 | 如果存在SOTIF风险评估或网络安全TARA，应将其与HARA进行比对 |
| 故障或失效可能违背的要求包括与SOTIF相关的要求 | 第9部分 8.2和8.4.9 | 将安全分析条目与SOTIF相关要求建立关联 |
| 相关失效分析是一项独立于安全分析的分析 | 第9部分 7.2 | 在要求独立性或免于干扰的情况下，应将DFA结果与安全分析结果分开呈现。仅在FMEA中作为一列保留是不够的。相关工作成果分别列于系统（第4部分 6.5.7）、硬件（第5部分 7.5.3）和软件（第6部分 7.5.4） |
| 定性分析识别源自交互和使用的原因 | 第9部分 8.4.9 | 确定由哪项分析来识别这些原因 |
| 通过分析新识别出的危害应纳入更新后的HARA | 第9部分 8.4.5 | 从分析条目到HARA危害事件的关联，以及变更管理 |
| 安全分析工具是需进行工具置信度评估的工具示例之一 | 第8部分 附录B.1 | 准备分析工具的分类与鉴定依据 |
加入STPA后，一个相关项最终要开展HARA、FMEA、FTA、DFA和STPA，其结果还必须与网络安全TARA进行比对。如果每项分析分别存放在不同的文件和不同的工具中，同一个危害事件和同一个安全目标就会在多处分别记录，一处的修改也不会同步到另一处。草案还将分析结果之间的一致性列为一项要求。相关失效分析必须与安全分析结果保持一致（第9部分 7.4.1），新识别出的危害必须纳入HARA（第9部分 8.4.5），HARA必须与其他风险评估保持一致（第3部分 6.4.7.1）。
06VisualPro：在一个项目中开展多项安全分析
VisualPro是VWAY开发的安全分析工具。它在一个项目中同时处理HARA、FMEA、FTA、STPA、CAST（事故致因分析）和TARA。本文标题中的“所有安全分析”即指这六种分析。这并不意味着VisualPro还涵盖草案列表中的HAZOP、ETA或马尔可夫模型。相关失效分析（DFA）功能即将推出。
STPA模块遵循MIT STPA Handbook的四个步骤：定义分析目的、建立控制结构模型、识别不安全控制行为、识别损失场景。该模块已列入MIT PSASS发布的STAMP Tools名单。列入名单并不代表MIT对其进行了评估或认可。VisualPro已获得SGS-TÜV Saar的工具认证（ISO 26262、IEC 61508、IEC 62304）。当被要求提供分析工具本身的置信度依据时，即上表最后一行所述的情况，可以使用这一材料。该证书是用户所开展的工具分类与鉴定的输入，并不能取代该评估。
07AI做什么，人做什么
当分析数量增加时，首先变得紧张的是人的时间。VisualPro提供MCP（Model Context Protocol）连接，使Claude等AI能够读取当前打开项目的分析数据，并创建和保存条目。已连接的模块包括FMEA、FTA、STPA、TARA和HARA。
我们在2026年10月发布的一篇技术资料中实际尝试过。在一个驾驶辅助功能的培训示例中，AI读取控制结构和引导词，创建并保存了17个损失场景。其中6个是作为基准的单一原型场景，11个是组合原型场景。由人对这11个场景进行判定后发现：3个会导致不同的对策，3个本可以通过选用更多单一原型找到，2个与现有场景部分重叠，2个是需要设计确认的假设，1个是重复项。AI生成了范围广泛的候选，再由人依据设计文档判断每个候选在实际设计中是否成立。这些结果来自作者判定的一个示例，因此现在推广还为时过早。
对照草案的要求，情况如下。第9部分第8.4.8条要求对安全分析及其结果进行验证，第8部分第10.4.1条要求对输出未经充分检查或验证的工具进行评估。由人在每个AI创建的条目成为工作成果之前进行审查，正是为了满足这一条件。第8部分第10.4.1条还附有一条注，指出基于AI的工具须遵循专业标准中的进一步考虑。
08明天要检查的事项
- 在当前的分析清单旁，写下第9部分第8.4.9条中的三个来源（要素本身、交互、使用），并标明每个来源由哪项分析覆盖。如果某个来源未被任何分析覆盖，可考虑采用HAZOP或STPA等方法。
- 在要求独立性或免于干扰的地方，检查能否将相关失效分析结果与安全分析结果分开呈现。
- 确认是否有将分析中新发现的危害纳入HARA的流程及记录。
- 选取一个危害事件，在HARA、SOTIF风险评估和TARA之间进行比对，看它们的记录是否不一致。
- 收集所用安全分析工具的分类与鉴定依据（证书、已知问题清单、发布说明）。
- 确定如何记录每个AI创建的分析条目由谁、在何时审查。
09结语
在第三版草案中，STPA是被提及的方法，而非被要求的方法。草案要求定性分析识别源自交互和使用的原因，并提及STPA作为可用于满足这一要求的方法。
如果将日益增多的分析分开管理，就难以保持它们之间的一致性。应在一个项目中统一处理这些分析，并由人来判定AI生成的候选。
10常见问题
Q1ISO 26262第三版发布后，STPA会成为强制要求吗？
不会。在草案中，STPA仅在第9部分第8.2条的定性分析方法示例列表中被提及。它既不在要求条款中，也不在按ASIL划分的推荐表中。不过，第8.4.9条确实要求定性分析识别源自交互和使用的原因。采用何种方法满足这一要求由各组织自行决定，STPA是草案提及的选项之一。
Q2如果开展STPA，能否减少FMEA或FTA？
不能。硬件架构度量和PMHF通过基于失效率的定量分析进行评估，草案也保留了对归纳分析和演绎分析的推荐。草案未将STPA归类为归纳或演绎方法中的任何一种。STPA与FMEA和FTA并行使用，用于发现在特定情境下变得危险的控制行为和交互。
Q3草案所引用的SAE J3187是什么？
这是一份SAE文件，提供将STPA应用于汽车安全关键系统评估的推荐实践。草案第9部分并未描述STPA流程本身，而是在参考文献中指向该文件。如需学习具体流程，MIT STPA Handbook是基本参考资料。
Q4目前还只是草案。现在就做准备有意义吗？
措辞可能在投票和意见处理过程中发生变化，因此现在就开展与条款编号挂钩的文档工作还为时过早。现在值得做的是检查分析范围。由哪项分析识别源自交互和使用的原因，以及能否将相关失效分析结果分开呈现，无论最终措辞如何，都值得确认。
Q5AI生成的分析结果可以直接提交评估吗？
不可以。草案第9部分第8.4.8条要求对安全分析及其结果进行验证，第8部分第10.4.1条附有一条注，指出基于AI的工具需要进一步考虑。正确的做法是由AI创建候选，再由人依据设计文档进行核查，只将成立的候选采纳为工作成果。
参考资料
- ISO/DIS 26262-1至-10:2026, Road vehicles — Functional safety（国际标准草案，投票期2026年10月14日至2027年1月6日）。本文引用的条款：第9部分 7.2、7.4.1、8.1、8.2、8.4.1、8.4.5、8.4.8、8.4.9 / 第10部分 13.6.1 / 第3部分 6.4.6、6.4.7.1 / 第4部分 6.5.7 / 第5部分 7.5.3 / 第6部分 7.5.4 / 第8部分 10.4.1、附录B.1
- SAE J3187, System Theoretic Process Analysis (STPA) Recommended Practices for Evaluations of Automotive Related Safety-Critical Systems
- ISO 26262-9:2018，第8条 Safety analyses；ISO 21448:2022（SOTIF）；ISO/SAE 21434（网络安全）
- VWAY 技术资料，“The Next Step in STPA Loss Scenarios: Cross-Class Guide Words + MCP AI”，2026年10月29日
- Nancy G. Leveson, John P. Thomas, STPA Handbook, MIT, 2018 — psas.scripts.mit.edu
- MIT PSASS, STAMP Tools — psas.scripts.mit.edu/home/stamp-tools
本文基于ISO/DIS 26262:2026（国际标准草案）第1至第10部分，不涉及第11和第12部分。国际标准草案并非正式发布的标准，其措辞和条款编号可能在投票和意见处理过程中发生变化。文中简短引用了草案原文；摘要和解读均为作者个人观点，不能替代认证或评估判断。截图中的驾驶辅助功能为虚构的培训示例，并非任何特定车辆或制造商的设计。AI生成相关数据为上文所引2026年10月29日技术资料的结果；判定由作者完成，未经独立复核。