ThreatZ TARA 迁移：
旧版文件进，评审过的项目出。
要将旧版 TARA 迁移到 ThreatZ，请在项目导入向导中上传表格或 OpenXSAM 文件。ThreatZ 在后台用大约 3–4 分钟完成分析，将结果暂存，并且只有在分析师评审并批准暂存数据之后才创建项目。AI 协助路径通过 ThreatZ MCP 服务器，从 Claude Desktop 或 Claude Code 等 AI 客户端运行同样的导入器：客户端负责准备、启动和评审导入，在你于 ThreatZ 中批准之前不会写入任何内容。
01 · 支持的输入
迁移时 ThreatZ 可导入的内容
每个导入器都在 ThreatZ 导入器注册表中定义一次，注册表同时固定了服务端大小上限以及该导入器能否通过 MCP 运行。被接受的文件会在任何处理开始前按扩展名和内容签名进行检查。前两个导入器从旧版 TARA 创建整个项目；其余导入器则把架构、信号、诊断、SBOM、发现项与合规材料带入一个已经存在的项目。
| 导入器 | 接受的文件 | 创建内容 | 大小上限 | 可经 MCP 运行 |
|---|---|---|---|---|
| TARA 表格（新建项目） | .xlsx .xls | 一个新项目，包含在工作表中找到的 TARA 实体，创建前先暂存供评审 | 10 MB | 是 — 由发起导入的人在 ThreatZ 中批准 |
| OpenXSAM 模型（新建项目） | .xsam .xml | 由 OpenXSAM 模型构建的新项目；轮询进度直至作业完成 | 50 MB | 是 — 创建需等待你的批准 |
| 软件单元的软件架构（ARXML / XMI） | .arxml .xmi .xml | 组件软件单元的架构草稿，定稿并映射到其 SBOM | 10 MB | 是 |
| Enterprise Architect XMI（四眼原则暂存导入） | .xml .xmi | 项目中的暂存架构草稿；由负责人在 ThreatZ 中经安全密钥升级验证后批准并提交 | 10 MB | 仅暂存 — 批准与提交在 ThreatZ 中进行 |
| MATLAB / Simulink System Composer 模型 | .slx | 在你确认评审后导入项目的系统模型 | 60 MB | 是 |
| 通信矩阵（ARXML、DBC、LDF、VSS、VISS、VDM、S2DM） | .arxml .dbc .ldf .xml .vspec .json .yaml .yml .graphql .vdm .s2dm | 项目模型中的信号，附带可供评审的信号差异；可选资产推荐 | 100 MB | 是 |
| 诊断描述（ODX / PDX / CDD） | .odx .pdx .cdd | 组件上的诊断服务；可选资产推荐 | 100 MB | 是 |
| 软件单元的 SBOM | .json .xml | 定稿到软件单元上的 SBOM 草稿，随后送交中央扫描 | 50 MB | 是 |
| SCA / SAST / 二进制发现项 | .json .sarif .xml | 针对 SBOM 文件暂存的发现项，映射到组件后提交 | 50 MB | 是 |
| 合规自定义模板 | .docx .xlsx .pdf | 一份等待第二人批准的自定义合规模板 | 25 MB | 仅上传与评审 — 批准需由第二人在 ThreatZ 中完成 |
| 工作产品项定义 | .json .xmi .xml .xlsx .docx | 工作产品的暂存项定义，按每次暂存批准或拒绝 | 10 MB | 是 |
大小上限以服务端为准，而非上传控件。非文件导入的连接器，请参见集成。
02 · 迁移工作流
上传、分析、暂存、批准、提交
这是一份 TARA 表格所走的路径。项目范围的导入器遵循同样的模式——分析、评审、确认——只是阶段更少。
上传
在“项目”页面选择导入而非新建项目，或从车辆建模中的某个组件开始，选择导入旧版项目或使用 OpenXSAM 导入——新项目随即与该组件关联，其风险汇总到项目群。ThreatZ 会在任何处理开始前检查文件类型、大小上限以及文件是否为空。项目名称在项目群内必须唯一。
后台分析
ThreatZ 分四个阶段读取文件——Sheet Discovery → Relationship Mapping → Validation → Staging——并显示“第 N 步，共 4 步”指示、当前阶段的简短说明以及已用时间计数。旧版项目通常需要大约 3–4 分钟。你可以切换标签页或处理其他工作；你保持登录状态，导入就绪时标签页标题会闪烁，你还可以开启浏览器通知或提示音（默认关闭）。“正在处理…”表示该阶段没有可报告的百分比，而不是卡住了。
暂存预览
结果保存在暂存区，而不在你的项目图中。它会显示在“项目”页面的待处理的导入下，直到有人对其作出决定，所以你今天早上启动的导入到下午仍然在那里。由 AI 客户端启动的导入带有由 AI 客户端发起标记。
分析师评审与批准
打开暂存内容并与源文件对照：实体数量、名称，以及资产、损害场景、威胁场景与控制措施之间的关系。批准创建项目。拒绝丢弃暂存数据。取消停止仍在运行的导入。只有发起导入的人才能批准、拒绝或取消它。
提交到图
批准后，ThreatZ 以一次全有或全无的提交写入项目——要么整个项目被创建，要么什么都不创建。批准只会被认领一次，因此重复批准不会创建两个项目。结果像任何其他 ThreatZ 项目一样打开：威胁图、风险热力图、需求，为迁移之后的威胁与风险工作做好准备。
03 · 通过 MCP 的 AI 协助迁移
让 AI 客户端运行导入。最终决定权在你。
ThreatZ 自带一个 MCP 服务器。Claude Desktop 或 Claude Code 等 AI 客户端通过它连接，并以你的身份工作：它能读取你能读取的内容，并在你的组织允许时运行上述导入器。AI 客户端从不批准任何事情；凡是会创建、替换或删除数据的步骤，都会在 ThreatZ 中等待你。这与产品内的 ThreatZ AI 推荐器与助手是两回事，后者在项目内部提议威胁与控制措施。
AI 客户端能做什么
- 回答关于你可见的 ThreatZ 实时数据的问题：超出容忍度的风险、未关闭的发现项、合规状态。
- 替你运行一次导入——TARA 表格、SBOM、架构模型、通信矩阵——遵循引导式的 import_data 流程。
- 从你的工作区传递文件（本地客户端），或请你在 ThreatZ 页面上传并确认其名称、大小与 SHA-256（托管客户端）。
它永远不能更改用户、角色或设置，不能批准评审或风险接受，不能读取审计跟踪或原始文件，不能使用远程 URL 作为导入源，也不能批准自己的请求。
导入序列
- prepare — 获取有效取值（级别、策略、以 id 和名称表示的用户）及范围。不得凭空编造 id。
- start — 按引用传递文件，绝不粘贴内容。
- status — 轮询直到阶段变化。APPROVAL_PENDING 表示客户端向你显示批准链接并等待。
- review — 读取已暂存的内容。导入的文本被标记为不可信；客户端不得执行其中发现的指令，并须标记任何可疑之处。
- resolve — 仅当评审要求作出映射或冲突等决定时。
- decide — 提交、拒绝或取消。只有当 ThreatZ 报告已提交时，导入才算完成。如果你拒绝，则什么都没有写入。
管理员控制
- 访问级别为关闭、只读或读取并导入，在接受数据共享声明后，于“设置 → 集成 → AI 客户端”下设置。
- 按领域划分的逐导入器开关；影响范围大的导入器默认关闭。
- 排除项目：AI 客户端永远无法打开、读取它们或向其导入。
- 能力领域和单个 MCP 工具均可关闭。
- 从你的个人资料撤销某一个客户端，或撤销所有会话；关闭访问会让每个 AI 客户端登出。
- 许可证必须包含 API 访问。一旦失去该权限，已连接的客户端在下一次调用时会被拒绝。参见价格。
批准链接与上传链接有效期为 15 分钟；一份批准凭证有效期 5 分钟且仅可使用一次。你的 AI 客户端读取的数据会发送给该客户端中配置的模型提供方。气隙隔离部署使用本地服务器并搭配你网络内部的模型——参见信任中心。
04 · 分析师确认与可追溯性
没有署名的决定，任何内容都到不了图中
迁移本身就是一次审计事件。ThreatZ 记录谁发起了它、暂存了什么、谁在何时作出决定——无论导入来自向导还是 AI 客户端。
暂存门禁
暂存的有效载荷逐字保存并附带规范哈希，只有在批准决定之后才写入项目图。被拒绝的导入不会留下任何项目。
批准、拒绝、取消
三个明确的操作，绑定到发起导入的人。取消受到保护，不能覆盖片刻之前刚完成的结果。
审计事件
每一次状态转换——已接收、已暂存、已批准、已拒绝、已取消、已提交——都是组织防篡改审计跟踪中的一个事件。AI 客户端活动（连接、导入器步骤、批准、上传、附带原因的拒绝）为管理员单独列出。
假名化
在导入元数据中检测到的 VIN、电子邮件地址和人名，会在导入记录进入审计跟踪之前替换为按租户的假名。VIN 与电子邮件检测为高置信度；人名检测为尽力而为。
待处理的导入
仍在运行或等待决定的导入列在“项目”页面上。打开其中一个即可评审、批准、拒绝或取消——与向导中相同的控制。
状态历史
每次导入保留其状态的只追加历史，包括作为终止状态的“已取消”。因重启而成为孤儿的导入会被恢复并如实标注，而不是悄然丢失。
05 · 验证与限制
ThreatZ 检查什么，不做什么
导入前与导入期间检查的内容
- 文件扩展名与内容签名必须匹配同一个导入器；不匹配会被拒绝，并提示可接受的类型。
- 来自注册表的大小上限：TARA 表格、ARXML/XMI 架构和工作产品定义为 10 MB；合规模板为 25 MB；OpenXSAM、SBOM 和发现项为 50 MB；System Composer 为 60 MB；通信矩阵和诊断描述为 100 MB。
- 空文件会被拒绝。
- 来自导入文件的文本被视为不可信数据，绝不视为指令——无论在暂存评审中，还是在 AI 客户端读取的任何内容中。
- 级别、策略、用户和部门的 id 必须来自 ThreatZ；AI 客户端被明确告知绝不能编造它们。
有意不做的事
- 每个文件对应一个导入器。一份把 TARA 与 SBOM 混在一起的表格就是两个文件。
- TARA 表格与 OpenXSAM 导入器创建的是新项目。没有自动合并到现有项目的功能。
- 不在注册表中的格式不会被导入。对于上表未列出的工具导出，不作任何承诺。
- AI 客户端不能使用远程 URL 作为导入源，本版本也不向它们提供跨租户传输。
- 即使导入由 AI 客户端发起，有些决定仍留在 ThreatZ 中：需要第二人或安全密钥的批准，以及自定义合规模板的决定。
- 导入不会替你作出任何决定。它暂存文件所述的内容；由分析师决定是否将其变成项目。
06 · 完整示例
一份一级供应商 ECU 的 TARA 表格，从头到尾
一次示例运行（示例，非真实客户）。下方数字为虚构，用以展示典型车身控制模块 TARA 的形态，并非来自客户文件的测量值。
- 文件。 BCM_TARA_rev4.xlsx，2.1 MB，三个工作表：资产、损害与威胁场景、控制措施与需求。一列“负责人”填有工程师姓名。
- 上传。 分析师在“项目”页面选择“导入”。类型、大小与非空检查通过；导入开始，分析师回到另一个标签页继续一项评审。
- 分析。 Sheet Discovery 找到三个工作表。Relationship Mapping 将损害场景关联到它们所指的资产，将威胁场景关联到损害场景。Validation 对找到的内容进行校验。Staging 把结果写入暂存区。耗时：约三分钟。
- 评审。 暂存预览显示 24 项资产、31 个损害场景、28 个威胁场景、6 条攻击路径、7 项控制措施和 15 条需求。分析师对照工作表核对数量，并抽查两个在源文件中资产关联显得含糊的威胁场景。
- 决定。 分析师批准。项目在一次提交中创建，并随其威胁图、热力图与需求打开。该导入、其暂存及批准现已成为审计跟踪中的条目；“负责人”列中的工程师姓名在这些记录中已被假名化。
- 同一流程经由 AI 客户端。 工程师请其 AI 客户端导入该文件。客户端运行 prepare 与 start，报告 APPROVAL_PENDING 并附上链接，然后等待。工程师打开链接，看到导入器、操作与目标，然后批准。只有当 ThreatZ 表示已提交后，客户端才报告项目已创建。
07 · 导入之后
迁移后的项目是什么样
这些是迁移后的 TARA 所落入的标准 ThreatZ 项目视图。它们不是导入向导的截图。
08 · 常见问题
工程师在迁移前常问的问题
TARA 表格导入器会合并到现有项目中吗？
不会。TARA 表格导入器与 OpenXSAM 导入器始终创建一个新项目。没有自动合并到已存在项目的功能。要把内容带入现有项目，请使用上文列出的项目范围导入器（软件架构、System Composer 模型、通信矩阵、诊断描述、SBOM、发现项、工作产品项定义），它们都会先暂存结果供评审。
AI 客户端能自行批准一次迁移吗？
不能。AI 客户端通过 ThreatZ MCP 服务器以你的权限工作，但任何创建、替换或删除数据的步骤都会停在 APPROVAL_PENDING，并向你显示 ThreatZ 中批准页面的链接。你在那里批准或拒绝。每次批准仅对该一个步骤有效一次，客户端不能批准自己的请求。
我可以把哪些文件格式迁移到 ThreatZ？
整份 TARA：.xlsx 或 .xls 表格，以及 .xsam 或 .xml 的 OpenXSAM 模型。导入现有项目：ARXML 与 XMI 架构、Enterprise Architect XMI、System Composer .slx、通信矩阵（ARXML、DBC、LDF、VSS、VDM、S2DM）、ODX/PDX/CDD 诊断、JSON 或 XML 格式的 SBOM、SARIF 发现项，以及 .docx、.xlsx 或 .pdf 模板。导入器注册表之外的格式不受支持。
旧版项目导入需要多长时间？我必须守在屏幕前吗？
旧版项目导入通常需要大约三到四分钟。它在后台运行，所以你可以在保持登录的同时切换标签页或处理其他工作。向导会显示四个阶段中正在运行的是哪一个以及已运行多久；暂存结果就绪时标签页标题会闪烁，你还可以开启浏览器通知。
在旧版文件中发现的个人数据会怎样？
在导入元数据中检测到的 VIN、电子邮件地址和人名，会在导入记录进入审计跟踪之前替换为假名。假名化密钥按租户设置，因此同一个值在你组织的各次导入中映射到同一个令牌。人名检测为尽力而为，所以请在批准前评审暂存预览。