系統之系統

「系統之系統」（System of Systems, SoS）是一個工程與管理概念，指由多個在營運上與管理上各自獨立的系統所構成的集合體，這些系統透過網路連結協同運作，以達成單一系統無法實現的更高級目標。其關鍵特徵包含：組成系統的自主獨立性、管理上的獨立性、地理分佈性、以及因互動而產生的「新興行為」（Emergent Behavior）。雖然目前沒有單一的ISO SoS標準，但其概念是理解與實踐現代汽車功能安全標準ISO 26262與網路安全標準ISO/SAE 21434的核心。例如，ISO 26262的危害分析與風險評估（HARA）必須考慮車輛內不同電子控制單元（ECU）之間的交互作用，這些ECU本身就是一個SoS。與傳統單一系統不同，SoS的挑戰不在於設計個別子系統，而在於管理它們之間複雜的互動關係與非預期的風險。

在企業風險管理中，特別是汽車產業，SoS方法論的應用著重於識別與控制跨系統的整合風險。具體導入步驟如下： 1. **SoS架構識別與邊界定義**：首先，繪製出所有相關子系統（如ADAS、IVI、V2X通訊模組、動力系統）的架構圖，明確定義它們之間的數據與控制介面，並界定整個SoS的分析範圍。 2. **整合性風險評估**：採用整合性的安全與資安聯合分析方法，如系統理論程序分析（STPA），或在SoS層級上執行聯合的危害分析與風險評估（HARA, ISO 26262）及威脅分析與風險評估（TARA, ISO/SAE 21434）。此舉能有效識別因系統互動而產生的新興威脅，例如IVI系統的資安漏洞可能影響ADAS系統的安全決策。 3. **SoS層級的驗證與確效**：設計並執行整合測試案例，模擬真實世界中複雜的場景，驗證整個SoS在各種交互作用下的行為是否符合安全與資安要求。某歐洲車廠導入此方法後，其整合測試階段發現的關鍵風險數量提升了約20%，有效降低了產品上市後的潛在召回成本。

台灣企業在導入SoS方法論時，普遍面臨以下三大挑戰： 1. **組織壁壘與權責不清**：傳統汽車供應鏈的部門分工精細（如電子、底盤、車身），導致跨系統的風險分析難以推動，責任歸屬亦不明確。 **對策**：成立由高階主管支持的跨職能「系統整合團隊」，導入模型基礎系統工程（MBSE）工具建立統一溝通平台。應優先舉辦跨部門工作坊，共同完成一個小型專案的整合風險分析，預計3個月內見效。 2. **缺乏整合分析人才與工具**：工程師多專精於單一領域，缺乏兼具功能安全、網路安全與系統工程的跨領域知識。傳統的FMEA等工具也難以應對SoS的複雜性。 **對策**：投資支援STPA等現代分析方法的軟體，並與外部專業顧問合作，透過先導專案（Pilot Project）進行內部培訓與技術移轉，預計6個月內建立初步能力。 3. **供應鏈管理複雜化**：車輛由數百個供應商的零組件構成，要確保所有子系統在整合後能無縫且安全地運作，是一大挑戰。 **對策**：修訂供應商採購合約，要求提供符合ISO 26262/21434的介面控制文件（ICD）與安全證明，並建立供應商開發流程的定期審核機制。