《基于系统思维构筑安全系统》从传统安全工程在现代工业中表现出的主要问题和局限性入手，提出了一种新的构建更安全系统的系统性方法，包括基于系统理论的事故致因模型——STAMP，以及以此为基础的STPA安全分析、在安全指导下的设计和CAST事故分析等方法，从而将安全融入到系统设计和运行的方方面面。《基于系统思维构筑安全系统》结合国防、航天医药、化工等典型安全事故案例，深入浅出地论述了在这一方法集指导下的系统设计安全保障、系统运行安全控制与管理以及事故深层致因分析。
　　《基于系统思维构筑安全系统》将系统思维融入到整个安全系统的开发和使用中，体现了当前系统安全理论的研究热点，内容具有先进性、系统性和实用性，可作为企业管理人员和政府安全生产监督管理人员的参考书，也可作为高校安全工程等相关专业研究生的教材。《基于系统思维构筑安全系统》作者美国工程院院士南希·莱文森（NancyG.Leveson）教授是系统安全领域国际权威专家。

　　《基于系统思维构筑安全系统》：
　　此外，没有任何理由假设初始失效是相互排斥的，仅一个失效引起了事故，除非又简化了数学。在事故中，看似独立的失效可能有一个导致相同失效的共同的系统性原因（通常不是一个失效）。例如，与在地基中使用劣质材料相同的压力可能导致在外壳和甲板中使用劣质材料，从而导致波浪引发三者同时出现独立的失效。或者，当压力造成地基形变时，地基的设计——系统性因素而不是失效事件——可能导致给外壳和甲板施加压力。将这种事件视为独立的可能会导致不切实际的风险评估。在博帕尔事故中，通气洗涤器、火炬塔、喷水器、制冷单元和各类监测仪器同时都不能正常工作，这些看似无关和假设概率独立的事件，使人们相信，这起事故仅仅是一个很难遇到的巧合。基于事件链的概率风险评估很有可能将这些条件作为独立失效，然后计算它们同时发生的可能性。原因与基于流行的瑞士奶酪模型的事故原因是一样的，一般认为，“在所有的防御中，这样的轨迹在任何一个时间去寻找漏洞，机会是非常小的”。正如刚才所说，认真分析博帕尔事故，的确大多数事故描绘了一个完全不同的画面，并显示这些都不是随机的故障事件，而是由与系统因素相关的工程和管理决策引起的。设计良好系统的多数事故都涉及两个或更多在最坏的可能组合中发生的小概率事件。预测系统的风险时，人们直接或间接地用小概率乘以事件——假设它们是独立的——结果是难以置信的小数值，实际上，这些事件是彼此关联的。这种关联性可能与常见的系统因素相关，它们不会出现在事件链中。杩寇把这种现象称为泰坦尼克巧合。
　　一些“巧合”导致了泰坦尼克事故和随后的伤亡。例如，船在当时条件下行驶过快、没有保持对冰山适当的观察、该船没有携带足够的救生艇、没有进行救生艇演习、救生艇释放适当但是人员疏散安排不够、附近船舶上的无线电报务员睡着了没有听到遇险呼叫。这些事件或情况大多数可能被认为是独立的，其实并非如此，尤其当我们发现由于对船安全性及抗沉性的错误工程分析的过分自信导致缺乏适当的观察，以及救生艇数量不够和演练不足的时候。夜间不容易看见冰山而碰撞发生在晚上，这样造成弃船也比白天困难，也是附近船舶的操作员睡着了的一个因素。假设这些事件独立导致大大低估真正风险。
　　概率风险评估（PRA）的另一个问题是重视失效事件——设计错误通常被忽略，只通过失效事件的概率间接计算，没有考虑未失效（工作）组件中不正常的相互作用引起的事故——即组件交互事故，没有体现系统因素。
　　……

Ⅰ基础
第1章 为什么需要不同的方法
第2章 对传统安全工程基础的质疑
2.1 混淆安全性和可靠性
2.2 将事故致因描述为事件链
2.2.1 直接致因
2.2.2 选择事件的主观性
2.2.3 选择事件链条件的主观性
2.2.4 忽视系统因素
2.2.5 在事故模型中包括系统因素
2.3 概率风险评估的局限性
2.4 事故中操作员的作用
2.4.1 操作员导致了绝大多数的事故吗?
2.4.2 事后诸葛亮
2.4.3 系统设计对人为错误的影响
2.4.4 心智模型的作用
2.4.5 另一种人为错误的观点
2.5 事故中软件的作用
2.6 系统的静态观和动态观
2.7 关注追究责任
2.8 新事故模型的目的
第3章 系统论及其与安全性的关系
3.1 系统论概述
3.2 涌现性和层次性
3.3 通信和控制
3.4 用系统论解读事故
3.5 系统工程与安全
3.6 将安全融人系统设计

ⅡSTAMP：基于系统理论的事故模型
第4章 致因的系统理论观
4.1 安全约束
4.2 分层安全控制结构
4.3 过程模型
4.4 STAMP模型
4.5 事故原因的通用分类
4.5.1 控制器操作
4.5.2 执行器和被控过程
4.5.3 控制器和决策者间的协调和沟通
4.5.4 背景和环境
4.6 新模型的应用
第5章 友军误击事故
5.1 背景
5.2 防止误击事故的分层安全控制结构
5.3 使用STAMP的事故分析
5.3.1 近因事件
5.3.2 物理过程故障与异常交互
5.3.3 飞机与武器的控制器
5.3.4 ACE与任务指导
5.3.5 预警机操作员
5.3.6 更高层控制
5.4 误击事故结论

ⅢSTAMP使用
第6章 使用STAMP构建和运行更安全的系统
6.1 为何有时安全工作不经济一有效
6.2 系统工程在安全中的作用
6.3 系统安全工程化过程
6.3.1 管理
……
第7章 基础
第8章 STPA：一种新的危险分析技术
第9章 安全指导下的设计
第10章 将安全整合到系统工程中
第11章 事故与未遂事故分析
第12章 控制运行中的安全
第13章 管理安全与安全文化
第14章 SUBSAFE：安全程序成功的案例
结束语
附录A 定义
附录B 卫星损失事故
附录C 公共自来水系统的细菌污染事故
附录D 系统动力学建模简要介绍
参考文献
后记