Use Case-basierte Ausfalleffektanalyse von sicherheitsbezogenen eingebetteten Systemen

Transkript

1 Use Case-basierte Ausfalleffektanalyse von sicherheitsbezogenen eingebetteten Systemen Dipl.-Ing. (FH) Ephraim Balz, MSc STZ Softwaretechnik Im Gaugenmaier Esslingen Prof. Dr. Joachim Goll Fachhochschule Esslingen Kanalstr Esslingen Abstract Es wird ein Use Case-basierter Ansatz zur Sicherheitsanalyse eines Systems vorgestellt, welcher es ermöglicht, komplexe Systeme in übersichtlicher Art und Weise zu analysieren und selbst bei hohem Detaillierungsgrad Fehler bei der Sicherheitsanalyse zu vermeiden. 1. Einleitung Eingebettete Systeme werden heutzutage in nahezu allen technischen Bereichen eingesetzt. In der Automobilindustrie werden elektronische Systeme immer stärker auch für sicherheitskritische Aufgaben eingesetzt. So übernehmen beispielsweise Fahrerassistenzsysteme Steueraufgaben des Fahrers (Beschleunigen/Verzögern und Lenken), um den Fahrer zu entlasten oder um den Fahrer zu unterstützen, wenn dieser nicht in der Lage ist, in einer Gefahrensituation richtig zu reagieren [Dagli03]. Gängige Methoden zur Sicherheitsanalyse sicherheitskritischer Systeme sind beispielsweise die Ausfalleffektanalyse (FMEA = Failure Mode and Effects Analysis) [25448] und die Fehlerbaumanalyse [25424]. Bei einer Fehlerbaumanalyse werden ausgehend von einem unerwünschten Ereignis (Top-Event) top-down alle möglichen Fehlerursachen untersucht. Dabei kann festgestellt werden, welche Kombinationen von Fehlern zu dem unerwünschten Ereignis führen können. Mit einem Fehlerbaum kann anderseits bottom-up, wenn den Ereignissen Ausfallwahrscheinlichkeiten zugewiesen werden, berechnet werden, mit welcher Wahrscheinlichkeit das System einen gefährlichen Ausfall erleidet. Bei der Ausfalleffektanalyse werden die Ausfallmöglichkeiten von Systemkomponenten untersucht und es wird analysiert, welche Auswirkungen der Ausfall einer Systemkomponente auf das Gesamtsystem hat. Da die elektronischen sicherheitskritischen Systeme immer komplexer werden, steigt auch der Aufwand einer Sicherheitsanalyse exponentiell an. Daraus folgt, dass eine Sicherheitsanalyse sehr viele Seiten in Anspruch nimmt und dadurch zwangsläufig sehr unübersichtlich wird. Dies kann dazu führen, dass Fehler und deren Auswirkungen übersehen werden, was Lücken im Sicherheitskonzept zur Folge hat. In dieser Arbeit wird gezeigt, wie mit Hilfe eines Use Case-basierten Ansatzes die Ausfalleffektanalyse in strukturierter Weise in Teilanalysen zerlegt werden kann, die zusammengesetzt die vollständige Ausfalleffektanalyse ergeben. In einem einzelnen

2 Schritt werden nur die für den jeweiligen Use Case relevanten Teilsysteme betrachtet. Als Zwischenergebnis erhält man für jede Systemkomponente mehrere Use Case-bezogene Ausfalleffektanalysen, welche dann zum Endresultat zusammengeführt werden. Durch die Use Case-bezogene Betrachtung wird die Komplexität der Ausfalleffektanalyse verringert, da der Analysierende nicht das komplette System vor Augen haben muss. Dies trägt entscheidend zur Fehlerfreiheit der Ausfalleffektanalyse bei. 2. Use Case-basierte Systementwicklung Bei einer Use Case-basierten Systementwicklung [BrPoDo99] werden in der Systemanalyse Use Cases beschrieben und dann im klassischen Software Engineering Verarbeitungsfunktionen bzw. in der objektorientierten Modellierung Objekte definiert, welche von den Use Cases verwendet werden. In anderen Worten: Aus der Zusammenarbeit der Verarbeitungsfunktionen bzw. der Objekte in Form von Flussdiagrammen resultieren die Use Cases. Diese Flussdiagramme der Systemanalyse werden im ersten Schritt des Systementwurfs auf die Hardware abgebildet. In anderen Worten, es wird festgelegt, welche Verarbeitungsfunktion auf welchem Rechner (HW-EUC) läuft (siehe Bild 2-1). HW-EUC 2 HW-EUC 5 USE Case A USE Case B HW-EUC 1 HW-EUC 4 : User USE Case C HW-EUC 3 HW-EUC 6 : technischer Prozess Bild 2-1 Kollaboration von Systemkomponenten im Rahmen eines Use Case Im nächsten Schritt des Systementwurfs werden dem System technische Funktionen hinzugefügt. Dazu gehören beispielsweise Funktionen zur Ein-/Ausgabe, zur Kommunikation, zum Start-Up und Shut-Down und zur Parallelität. Nachdem alle technischen Funktionen bis auf die Fehlererkennung und die Fehlerbehandlung entworfen wurden, erfolgt eine Sicherheitsanalyse mit Hilfe der FMEA, um die Schwachstellen von Komponenten festzustellen und die Auswirkungen kritischer Ausfälle auf das Gesamtsystem zu untersuchen. Anhand der Erkenntnisse aus der Sicherheitsanalyse wird das Sicherheitskonzept entworfen, d.h. Funktionen zur Fehlererkennung und Fehlerbehandlung und die ggfs. erforderlichern Redundanzen werden dem System hinzugefügt. In Bild 2-1 ist beispielhaft dargestellt, wie eine Kollaboration der Systemkomponenten (HW-EUC + SW-EUC) aussehen kann, wenn sie von unterschiedlichen Use Cases verwendet werden. Wurden verschiedene Use Cases mit unterschiedlichen Safety Integrity Levels (SILs) eingestuft, so müssen bei der SIL-Einstufung der Systemkomponenten Kopplungen zwischen den Use Cases berücksichtigt werden. Eine Kopplung ist dann vorhanden, wenn eine Systemkomponente von mehreren Use Cases verwendet wird. Weisen aber Use Cases verschiedener Safety Integrity Levels eine Kopplung auf, so haben alle dasselbe Safety Integrity Level, nämlich das höchste vorkommende Level.

3 3. Ausfalleffektanalyse Die Ausfalleffektanalyse wird durchgeführt, nachdem das System entworfen wurde. In Kapitel 3.1 wird der Stand der Technik erläutert. In Kapitel 3.2 wird die Use Casebasierte Ausfalleffektanalyse vorgestellt und anhand eines Beispiels aus der Automobilindustrie erklärt Stand der Technik Seit ihrer Standardisierung (DIN ) fand die Ausfalleffektanalyse hauptsächlich in der Kern- und Reaktortechnik Anwendung, mittlerweile ist sie ein etablierter Standard bei der Entwicklung sicherheitsbezogener Systeme. Bei der Ausfalleffektanalyse werden einzelne Komponenten (auch Baugruppen genannt) eines Systems auf mögliche Ausfälle und deren Auswirkungen auf das Gesamtsystem untersucht [DIN 25448]. Im Gegensatz zur Fehlerbaumanalyse werden jedoch keine Kombinationen von Ausfällen betrachtet. Die Ausfalleffektanalyse kann aber als Grundlage für eine Fehlerbaumanalyse verwendet werden. Die Ausfalleffektanalyse wird begleitend zum Entwurf von technischen Systemen eingesetzt. Dies hat den Vorteil, dass frühzeitig Schwächen im System erkannt und in iterativer Weise wiederum beim Systementwurf berücksichtigt werden können. Voraussetzung hierfür ist jedoch die Vollständigkeit der Analyse. Zu Beginn der Analyse wird das Gesamtsystem in Baueinheiten unterteilt. Für eine jede Komponente wird eine Ausfalleffektanalyse durchgeführt. Alle Funktionen einer Komponente werden festgestellt und alle Ausfallarten einer Komponente abgeleitet. Es wird von einem Systemzustand ausgegangen, bei welchem alle Komponenten intakt sind. Sind Komponenten vorhanden, welche mehrere verschiedene Zustände bei einer intakten Komponente haben können, muss für einen jeden Zustand eine Ausfalleffektanalyse durchgeführt werden. Im nächsten Schritt werden mögliche Schadensbilder und ihre potentiellen Ursachen untersucht. Es wird ferner analysiert, inwiefern das System Ausfälle anhand des Schadensbildes und ihre Ursachen erkennen kann und welche Gegenmaßnahmen eingeleitet werden sollten. Durch ein Hinzufügen weiterer Sensoren oder erweiterter Algorithmen, um Fehler zu erkennen, und Umschalten auf eventuell vorhandene Redundanzen kann das System dann sicherer gemacht werden [SmSi04]. Anschließend werden die Auswirkungen des Ausfalls auf das System und dessen Umgebung festgestellt, wobei die Wirkung der Gegenmaßnahmen mit einbezogen wird. Die Norm DIN spezifiziert eine Tabelle (siehe Tabelle 3-1), die für die Ausfalleffektanalyse von einzelnen Baueinheiten verwendet werden kann.

4 Ausfalleffektanalyse System: Baueinheit Ausgangszustand Ausgangszustand Umgebungsbedingungen Zeichnungen Systemspezifikationen Nr. Funktion Ausfallarbilderken- Schadens- Ausfall- vorh. Ausfallauswirkung Ausw. Gegen- auf das System und Bem. mögliche nung maßn. ggf. auf seine Ursachen Umgebung Beschr. Unterlage Tabelle 3-1 Formblatt FMEA nach DIN Um die Bedeutung eines Ausfalls feststellen zu können, wird neben der Wirkung eines Ausfalls auch die Ausfallhäufigkeit mit einbezogen. Zur Ausfallbedeutungsanalyse wird ein Gitternetz (siehe Bild 3-1) erstellt, in welches die Ausfallhäufigkeit und die Auswirkung von Ausfällen eingetragen wird. Je weiter der Punkt, welcher einen Ausfall beschreibt, vom Ursprung U entfernt ist, desto größer ist die Bedeutung des Ausfalls. Anhand dieser Erkenntnisse aus der Ausfallbedeutungsanalyse kann ein Redesign einer Komponente erfolgen. Ausfallhäufigkeit sehr selten selten häufig U leicht mäßig schwer sehr schwer Auswirkung Bild 3-1 Gitternetz Ausfallbedeutung 3.2. Use Case-basierte Ausfalleffektanalyse Bei einem System, das aus komplexen Komponenten besteht, kann es sehr schwierig sein, alle Komponenten auf einmal zu betrachten. Die Untersuchung der Auswirkung des Ausfalls einer Komponente auf das Gesamtsystem kann natürlich ebenfalls eine große Herausforderung darstellen. Analysiert man eine komplexe Komponente innerhalb eines komplexen Systems, so kann es vorkommen, dass Ausfälle einer Komponente und Auswirkungen eines Ausfalls auf das Gesamtsystem vergessen werden. Bei der Use Case-bezogenen Ausfalleffektanalyse werden die Systemkomponenten im Kontext eines Use Case untersucht. Es werden nur diejenigen Systemkomponenten betrachtet, die für den jeweiligen Use Case relevant sind. Die Ausfalleffektanalyse für eine einzelne Systemkomponente ist dann fertig, wenn für alle Use

5 Cases, welche durch die betreffende Systemkomponente unterstützt werden, eine Ausfalleffektanalyse durchgeführt wurde. Es wird nun ein Fallbeispiel vorgestellt, anhand welchem die Use Case-basierte Ausfalleffektanalyse demonstriert wird. Es handelt sich dabei um ein modernes Bremssystem im Kraftfahrzeug, welches den Use Case Bremsen zur Verfügung stellt. Für den Use Case Bremsen gibt es den Normalablauf Bremsen im Normalfall und die Alternativabläufe Bremsen bei niedrigem Reibwert, Bremsen im fahrdynamischen Grenzbereich, Starkes Bremsen in Notsituation und Bremsen beim Anfahren am Berg. Im Folgenden wird nur auf die Alternativabläufe Bremsen bei niedrigem Reibwert und Bremsen im fahrdynamischen Grenzbereich eingegangen. In Bild 3-2 sind die Systemfunktionen (Verarbeitungsfunktionen + technische Funktionen) dargestellt, die von den beiden Abläufen verwendet werden. Der Normalablauf ist weiß dargestellt, die beiden Alternativabläufe sind schraffiert. Raddrehzahlsensoren Pedalsensor Fahrdynamiksensoren Raddrehzahlen einlesen Raddrehzahlen Sollverzögerung Bremspedalstellung ermitteln Bremspedalstellung Fahrdynamikwerte Fahrdynamiksensoren einlesen ECU Schlupf ermitteln Bremskräfte berechnen Sollverzögerung bestimmen Fahrdynamik ermitteln aktuelle Raddrehzahlen Verlauf der Raddrehzahlen Radbremskräfte Historie Schlupf Radbremsaktorik ansteuern Kennfeld Bremspedalstellung Fahrdynamikdaten Radbremsaktorik Bild 3-2 Systementwurf eines Bremssystems Identifikation der Systemkomponenten für einen Use Case Im Folgenden werden die Alternativabläufe 1 und 2 des Use Case Bremsen betrachtet. Für jeden Use Case werden die Systemkomponenten herausgesucht, auf welchen die Systemfunktionen ablaufen, die von dem entsprechenden Use Case verwendet werden, und zum anderen alle Sensoren und Aktoren, die für den entsprechenden Use Case benötigt werden.

6 In dem Fallbeispiel sind die Hardwarekomponenten für den Ablauf Bremsen bei niedrigem Reibwert die Radbremsaktorik, der Pedalsensor und die Rechner- Hardware. Die beteiligten Systemfunktionen sind Bremspedalstellung ermitteln, Sollverzögerung bestimmen, Schlupf bestimmen, Bremskräfte berechnen und Radbremsaktorik ansteuern. Für den Ablauf Bremsen im fahrdynamischen Grenzbereich sind es die Hardwarekomponenten Radbremsaktorik, Pedalsensor, Fahrdynamiksensoren und die Rechner-Hardware. Die beteiligten Systemfunktionen sind Bremspedalstellung ermitteln, Sollverzögerung bestimmen, Fahrdynamik ermitteln, Bremskräfte berechnen und Radbremsaktorik ansteuern Ausfüllen des Formblattes Bei der Analyse einer Komponente wird für jeden Use Case, in den die Komponente involviert ist, jeweils eine Ausfalleffektanalyse durchgeführt. Es werden für jeden Use Case jeweils die Ausfallarten bestimmt und die Auswirkungen auf das Gesamtsystem untersucht, die genau für diesen Use Case relevant sind. In Tabelle 3-2 und Tabelle 3-3 ist für die beiden Abläufe des Use Case Bremsen jeweils für die Komponente Rechner-HW ein ausgefülltes FMEA-Formblatt dargestellt. Ausfalleffektanalyse System: Bremssystem Rechner-Hardware Bremsen bei niedrigem Reibwert Ausgangszustand Ausgangszustand Umgebungsbedingungen Zeichnungen Systemspezifikationen Ausfallerkennung vorh. Gegenmaßn. Ausfallauswirkung auf das System und ggf. auf seine Umgebung Nr. Funktion Ausfallart Schadensbild, mögliche Ursachen 1 Bremsen mit Einrechnen des Schlupfs Interner HW-Fehler Kurzschluss am Eingang Drehzahlsensoren Unterbrechung am Eingang Drehzahl- Schlupf- Berechnung fällt aus sensoren Interner HW-Fehler Schlupf- Berechnung Wert zu groß Schlupf- Berechnung Wert zu klein Interner HW-Fehler Beschr. Räder blockieren bei Voll-bremsung Geringere oder keine Bremswirkung Räder neigen zum Blockieren Tabelle 3-2 FMEA für Bremsen bei niedrigem Reibwert für die Rechner-HW Ausw. Bem.

7 Ausfalleffektanalyse System: Bremssystem Rechner-Hardware Bremsen im fahrdynamischen Grenzbereich Ausgangszustand Ausgangszustand Umgebungsbedingungen Zeichnungen Systemspezifikationen Ausfallerkennung vorh. Gegenmaßn. Ausfallauswirkung auf das System und ggf. auf seine Umgebung Nr. Funktion Ausfallart Schadensbild, mögliche Ursachen 1 Bremsen mit Einrechnen von Fahrdynamikwerten Fahr- dynamik- Berechnung fällt aus oder fehlerhaft Interner HW-Fehler Kurzschluss am Eingang der Sensoren Unterbrechung am Eingang der Sensoren Beschr. Fahrzeug schleudert Ausw. Bem. Tabelle 3-3 FMEA für Bremsen im fahrdynamischen Grenzbereich für die Rechner-HW Zusammenführen zur FMEA des Gesamtsystems Eine Zusammenführung der einzelnen FMEAs erfolgt, nachdem für jeden Use Case für jede der an diesem Use Case beteiligten Systemkomponenten eine FMEA durchgeführt wurde. Das Zusammenführen zu einer Gesamt-FMEA einer Komponente ist sehr einfach, da einfach über alle Use Cases, an der die Komponente beteiligt ist, die einzelnen Komponenten-FMEAs addiert werden. Ein System ist dann vollständig analysiert, sobald für jede Systemkomponente eine vollständige FMEA durchgeführt wurde. 4. Zusammenfassung Der Use Case-basierte Ansatz zur Sicherheitsanalyse eines Systems stellt die Weiterführung des Use Case-basierten Ansatzes zur Systementwicklung dar. Auf der Basis der Use Case-basierten Systemanalyse und des Use Case-basierten Systementwurfs erfolgt die Durchführung der Use Case-basierten Sicherheitsanalyse. Damit ist ein durchgängiger Use Case-basierter Ansatz für die Systementwicklung und Sicherheitsanalyse einsetzbar. Der Use Case-basierte Ansatz führt durch seine Modularität zu mehr Übersicht und reduziert die Komplexität erheblich. Durch Aufaddieren der Sicherheitsanalysen für alle Use Cases wird die Sicherheitsanalyse für das Gesamtsystem gewonnen. Durch die im Systementwurf erarbeitete Systemstruktur kann auf die sonst übliche Systemzerlegung bei der Sicherheitsanalyse verzichtet werden. Dies erspart Zeit und trägt ebenfalls zur Korrektheit der Sicherheitsanalyse bei.

8 5. Literaturverzeichnis [61508] IEC 61508; Functional Safety of electrical/electronic/programmable electronic safety related systems; International Electrotechnical Commission 1998 [25448] DIN 25448; Ausfalleffektanalyse (Fehler-Möglichkeits- und Einfluss- Analyse); Deutsches Institut für Normung 1990 [25424] DIN 25424; Fehlerbaumanalyse, Methode und Bildzeichen; Deutsches Institut für Normung 1981 [Dagli03] Ismail Dagli; Detection of cutting-in vehicles a feasibility study; VDI 2003 [BrPoDo99] Bruce Powel Douglass, Doing Hard Time Developing Real-Time Sytems with UML, Objects, Frameworks, and Patterns, Addison- Wesley, 1999, ISBN: [SmSi04] David J. Smith & Kenneth G. L. Simpson, Functional Safety, Second Edition, Elsevier, 2004, ISBN: