Safety-Vorgehensmodell zur Konzeption und Entwicklung von sicherheitskritischen Systemen

Abstract

Unsere Gesamtsysteme werden immer komplexer. Nicht nur, dass sie aus einer wachsenden Anzahl von Teil-Systemen bestehen. Auch der vermehrte Einsatz von Softwarelösungen in technischen Teil-Systemen und die Verkoppelung mit anderen Systemteilen, sowie das Zusammenspiel mit einer meist undefinierten Gesamtsystemumgebung steigern die Komplexität, was im Fehlerfall sehr gefährlich werden kann. Umso wichtiger wird es, nicht nur das Augenmerk auf die einzelnen Teil-Systeme zu legen, sondern die gesamtheitliche Sicht im Auge zu behalten. Im Automotive-Bereich zum Beispiel spricht man von mehr als 100 Millionen Lines of Code, verteilt auf mindestens 70 Steuergeräte. Hier können systeminhärente Softwarefehler nur mehr schwer vermieden werden. Durch die Verkoppelung der Steuergeräte, sowie durch den Einfluss anderer technischer Systeme und dem Einwirken der Umwelt wird der Sachverhalt noch erschwert. Dadurch wird die Anzahl an inhärenten Systemzuständen im Fahrzeug beträchtlich erhöht. Durch ein Zusammentreffen von Fehlfunktionen einzelner Steuergeräte und der Beeinflussung von außen entstehen unvorhersehbare Systemzustände, die zu schwerwiegenden Unfällen führen können. Nancy Leveson, Professorin für Aeronautics und Astronautics am Massachusetts Institute of Technology (MIT), internationale Galionsfigur der Safety-Welt, bestätigt diesen Sachverhalt und spricht in diesem Zusammenhang von sogenannten 'System Accidents', einer gefährlichen Art von Unfällen. Aktuell bekannte Safety-Normen gehen auf diese Problemstellung nicht näher ein. Es existieren diesbezüglich auch keine geeigneten Vorgehensmodelle oder Analyse-Methoden, die dieses Problem lösen könnten. In Bezug auf die genannte Problemstellung werden in dieser Arbeit die wichtigsten Vorgehensweisen, die diversen Ansätze verschiedener Safety-Normen, sowie die dabei anzuwendenden Analyse-Methoden kritisch untersucht und deren Anwendbarkeit auf die Problemstellung analysiert. Insbesondere wird bei den Safety-Normen die Perspektive sowohl der funktionalen Sicherheit (IEC 61508, ISO 26262), als auch die der Systemsicherheit (MIL-STD 882E, DO 178C) eingehend betrachtet. Des Weiteren werden neue Modelle entwickelt und vorhandene erweitert, um die Problemstellung intensiver analysieren zu können. Darauf basierend wird ein Safety-Vorgehensmodell zur Konzeption und Entwicklung von sicherheitskritischen Systemen vorgeschlagen. Dieses Vorgehensmodell basiert auf Grundlage einer Erweiterten Fehlerkette, um die ganzheitliche Betrachtung von Fehlermechanismen und deren Kausalbeziehungen besser verstehen zu können. Das Vorgehensmodell verfolgt dabei den Ansatz der inhärenten Systemsicherheit. Das bedeutet, dass durch eine systematische Vorgehensweise mit entsprechend entwickelten Analyse-Methoden die Basis für ein inhärent sicheres Design (Inherent Safe System Design) gelegt werden soll. Vor allem das systematisch-methodische Vorgehen selbst, mit seiner Prägung für inhärente Systemsicherheit, sowie die dafür speziell entwickelten Analyse-Methoden, aber auch die Erweiterung traditioneller Methoden, prägen den Neuigkeitswert der Arbeit.

Our overall systems become more complex every day. Not only, because they consist of a growing number of sub-systems. Also the increasing application of software solutions in technical sub-systems, the coupling with other system parts, and the interaction with a mostly undefined overall system environment, raise the complexity, which can be very dangerous in the event of a fault. So much the important it gets to not only turn one's attention to the singular sub-systems, but to keep the holistic perspective in view. In the automotive sector, for instance, we currently talk about more than 100 million lines of code, distributed onto a minimum of 70 control units. Thus, system inherent software faults can hardly be avoided. Due to the coupling of the control units, as well as due to the impact of other technical systems und the influence of the environment, these circumstances are impeded even further. Thereby, the number of inherent system states in a vehicle gets increased considerably. If malfunctions of single control units happen concurrently, together with external influences, unforeseeable system states occur, which can lead to severe accidents. Nancy Leveson, professor in aeronautics and astronautics at the Massachusetts Institute of Technology (MIT), international figurehead of the safety world, confirms this circumstance and talks in this context about so-called 'system accidents', a dangerous kind of accidents. Presently known safety standards do not address this problem further. In this respect, also no suitable procedure models or analysis methods exist to solve this problem. With regard to the stated problem, this work will critically examine the most important procedure models, the diverse approaches of different safety standards, as well as the analysis methods to be applied, and also will analyse their applicability onto the said problem. Particularly for the safety standards, both will be examined closely, the functional safety perspective (IEC 61508, ISO 26262), and the system safety perspective (MIL-STD 882E, DO 178C). Furthermore, new models will be developed and existing ones extended, in order to analyse the problem more intensively. On the basis of these analyses, a procedure model for conception und development of safety-critical systems will be recommended, the so-called 'safety approach model'. This safety approach model is founded on the principle of an extended failure model, in order to better understand the holistic inspection of fault mechanisms and their causal relationships. The approach model pursues thereby the idea of inherent system safety. This means, that through a systematic approach, together with correspondingly developed analysis methods, the fundaments for an 'inherent safe System Design' should be installed. Especially this systematic-methodical approach by itself, with its imprint for inherent system safety, as well as the therewith specifically developed analysis methods, but also the extension of traditional methods, form the den news value of this work.