Menschliche Fehler in der Fehlerbaumanalyse

Größe: px

Ab Seite anzeigen:

Download "Menschliche Fehler in der Fehlerbaumanalyse"

Evagret Boer
vor 8 Jahren
Abrufe

INFORMATIK CONSULTING SYSTEMS AG Menschliche Fehler in der Fehlerbaumanalyse Paweł Buczek Informatik Consulting Systems AG Safety in Transportation, Braunschweig 10.

1 INFORMATIK CONSULTING SYSTEMS AG Menschliche Fehler in der Fehlerbaumanalyse Paweł Buczek Informatik Consulting Systems AG Safety in Transportation, Braunschweig 10. Novemeber 2014 Agenda ICS AG Der Kontext der betrieblichen Gefährdungsanalyse Fallstudie: Langsamfahrstellen vereinfachter betrieblicher Ablauf entsprechende Fehlerbaumanalyse Anforderungsrate, Gefährdungsrate, Wahrscheinlichkeit Quantifizierung der Fehlerbäume Poisson-Prozess Fallgruben der FTA Software 2 1

Novemeber 2014 Agenda ICS AG Der Kontext der betrieblichen Gefährdungsanalyse Fallstudie: Langsamfahrstellen

2 Kundenliste (unvollständig) Industrie: ABB Adam Opel AG Alcatel SEL Ansaldo STS ARBED AUDI AG AUDI Electronics Venture Bombardier Daimler AG Deuta-Werke Diehl Aerospace Dürr EADS FORD Funkwerk IT Hamburger Hochbahn IBM Infineon Johnson Controls Marconi Philips Rheinmetall Defence Robert Bosch Rohde&Schwarz RWE Nortel Networks SB LiMotive Siemens Dematic Siemens TS Siemens VDO Thales Temic THSRC Taiwan T-Systems Volkswagen Vossloh IT Yazaki Europe Limited ZF Friedrichshafen Öffentliche Hand: BWB BKA Universität Ulm Universität Magdeburg FH Weingarten Universität Kassel Stadt München Stadt Frankfurt Innenministerium BW Staatsanwaltschaft Stuttgart 3 Unternehmensprofil Rechtsform Aktiengesellschaft Grundkapital 2,4 Mio. EUR Vorstand Franz-Josef Winkel, Cid Kiefer Aktionäre Die Familien: Hämer, Winkel und Kiefer Hauptstandort Stuttgart Geschäftsstellen Berlin, Braunschweig, Ingolstadt, Leipzig, Markdorf, München, Neu-Ulm, Oldenburg, Rüsselsheim Anzahl der Mitarbeiter 160 Umsatz EUR Handelsregister Amtsgericht Stuttgart HRB Nr Ust-IdNr.: DE Anzahl der Mitarbeiter

THSRC Taiwan T-Systems Volkswagen Vossloh IT Yazaki Europe Limited ZF Friedrichshafen Öffentliche Hand: BWB BKA Universität Ulm Universität Magdeburg FH Weingarten Universität Kassel Stadt München

3 Agenda Der Kontext der betrieblichen Gefährdungsanalyse Fallstudie: Langsamfahrstellen vereinfachter betrieblicher Ablauf entsprechende Fehlerbaumanalyse Anforderungsrate, Gefährdungsrate, Wahrscheinlichkeit Quantifizierung der Fehlerbäume Poisson-Prozess Fallgruben der FTA-Software 5 Der Kontext der betrieblichen Gefährdungsanalyse Betreiber Sanduhrmodell Infrastruktur, Betriebsabläufe, Personal, Verkehrsdichte... THR* Ziel Welche Risiken bezogen auf die Fahrgäste sollen toleriert werden? 6 Hersteller Stand der Technik Preis *THR Tolerable Hazard Rate 3

FTA-Software 5 Der Kontext der betrieblichen Gefährdungsanalyse Betreiber Sanduhrmodell Infrastruktur, Betriebsabläufe, Personal,

4 Betriebliche Gefährdungsanalyse Ein Zug fährt mit einer bestimmten Geschwindigkeit durch die Infrastruktur und beansprucht sicherheitskritische Funktionen, z.b.: richtige Lage der Weiche Signalgebung maximale Geschwindigkeit, z.b. Trassierungsgegebenheiten, Langsamfahrstellen wegen Baustellen / Schienenbruch u.ä. Beim Versagen einer der Funktionen muss man von katastrophalen Folgen ausgehen. Das MEM*-Prinzip bestimmt, wie oft (h -1 ) es insgesamt zum Versagen einer der Funktionen kommen darf. Fallstudie: Langsamfahrstellen 7 *MEM Minimale Endogene Mortalität Bild: Langsamfahrstellen und Sperren betrieblicher Ablauf 8 Bild: 4

Beim Versagen einer der Funktionen muss man von katastrophalen Folgen ausgehen.

5 Langsamfahrstellen (Lfs betrieblicher Ablauf (stark vereinfach Technisches System: ETCS-Zentrale vergibt Movement Authorities Wie weit und schnell darf ein Zug fahren? Lfst wird geplant in einer entfernten Verwaltung Gleis, Anfang/Ende km, Geschwindigkeit (oder Verbo, Datum/Zeit von/bis Ein Beleg wird erzeugt und an den Bedienplatz der ETCS-Z geschickt. Bedienplatz Eingabegerät, z.b. Tastatur Bediener 1 gibt die Daten in die ETCS-Z ein, aktiviert die Lfst. Bediener 2 überprüft die richtige Wirksamkeit der Lfst. Der Mensch ist hier ein Teil des Verfahrens. 9 Fehlerbaum logische Struktur TOP-Ereignis und TOP-Ereignis ( ) Die Lfst ist fehlerhaft nicht wirksam. A-Lfst B1 B2 oder HW A-Lfst Anforderung Eine Lfst ist angefordert worden. B1, B2 Fehler der Bediener HW Hardware Fehler (Bedienoberfläche) Quantifizierung? Gefährdungsrate (h -1 )? 10 5

Bedienplatz Eingabegerät, z.b. Tastatur Bediener 1 gibt die Daten in die ETCS-Z ein, aktiviert die Lfst. Bediener 2 überprüft die richtige Wirksamkeit der Lfst.

6 Anforderungs- und Ausfallrate Anforderungsrate λ 0 Z.B. die Zahl der Lfst pro Stunde Zugfahrt ( 5 10 h 2 1 ) Ausfallwahrscheinlichkeit Q( Wahrscheinlichkeit, dass innerhalb des Betriebsintervalls t wenigstens eine Lfst falsch behandelt wurde. ( ) Gefährdungsrate wie oft (h -1 ) wird die Lfst falsch eingerichtet? Unser Ziel 1 dq( λ( = 1 Q( dt 11 Poisson-Prozess Poisson-Prozess stochastischer Prozess mit zeitunabhängiger (konstanter) Rate die Ereignisse sind nicht abhängig (unkorrelier andwendbar in der Bahnwelt ( die Mitte der Badewannekurve ) Poisson non-poisson 12 6

wenigstens eine Lfst falsch behandelt wurde. ( ) Gefährdungsrate wie oft (h -1 ) wird die Lfst falsch eingerichtet?

7 Poisson-Prozess mit Ausfällen Anforderungsrate λ 0 misslungene Aktivierung mit Wahrscheinlichkeit p Gefährdungsrate λ = pλ 0 Es muss sorgfältig zwischen Raten und Wahrscheinlichkeit unterschieden werden! 13 Poisson-Prozess mit Ausfällen 2 Die Wahrscheinlichkeit des störungsfreien Betriebsintervalls (sich gegenseitig ausschließende Erreignisse entweder keine, oder 1, oder 2, etc. Lfst.) 14 Gefährdungsrate λ = pλ 0 7

13 Poisson-Prozess mit Ausfällen 2 Die Wahrscheinlichkeit des störungsfreien Betriebsintervalls (sich

8 Hardware-Fehler 15 Menschliche Fehler Mensch hat keine Ausfallrate Wahrscheinlichkeit einer misslungenen Handlung Schwere Fragestellung Art der Aufgabe Anforderungsrate (Über- oder Unterforderung) Zeit am Tag Laune... Referenz Albrecht Hinzen: Der Einfluss des menschlichen Fehlers auf die Sicherheit der Eisenbahn (Dissertation RWTH Aachen), Juni 1993 Standardwerk in der DB AG Forschung in der Gruppe Frau Dr. Milius 16 8

9 Menschliche Fehler Bediener 1: fertigkeitsbasierte Handlung p 1 = 10-3 Bediener 2: Unterforderung p 2 = Offene Frage: Wie unabhängig sind die zwei Bediener? Ausgeschlossen sind Fehler, die durch Missachten der betrieblichen Regel vorkommen systematische Fehler 17 Fehlerbaum richtige Quantifizierung TOP-Ereignis und Wahrscheinlichkeit der misslungenen Aktivierung (berechnet mit der FTA-Software) A-Lfst oder HW Anforderungsrate einbezogen am Ende, außerhalb der FTA-Software! λ = pλ 0 TOP-Gefährdungsrate B1 B2 18 9

Ausgeschlossen sind Fehler, die durch Missachten der betrieblichen Regel vorkommen systematische Fehler 17 Fehlerbaum richtige

10 Fehlerbaum Software 1. Fallgrube TOP-Ereignis und λ0t Q( = p(1 e ) λ( 0 t 1 dq( λ( = 1 Q( dt Basisereignis Fixed misslungene Bedienung mit Whrsch. p Basisereignis Rate (Anforderungsrate λ 0 ) Nach längerem Betrieb strebt die Ausfallrate gegen 0! (Aber wieso sollen wir mit der Zeit besser sein?!) Grund: Wir nehmen implizit nur eine Anforderung (Lfs an! Kein FTA-Software-Fehler: Sie kann automatisch mit Poisson-Prozessen in unserer Form nicht umgehen. 19 Fehlerbaum Software 2. Fallgrube TOP-Ereignis und p1λ0t p2λ0t Q( = (1 e )(1 e ) λ( p λ t dq( λ( = 1 Q( dt Rate p 2 λ 0 (Bediener 2) Rate p 1 λ 0 (Bediener 1) p 1 < p 2 Die Software liefert die Ausfallrate (statt p1 p2λ0 )! p 1 λ 0 20 Grund: Die zwei Basisereignisse sind höchst abhängig! Unsere zwei Bediener bearbeiten in der Darstellung zwei separate Lfst. Kein FTA-Software-Fehler: Wir haben es der SW nicht mitgeteilt. So eine Option gibt es leider auch nicht. 10

!) Grund: Wir nehmen implizit nur eine Anforderung (Lfs an! Kein FTA-Software-Fehler: Sie kann automatisch mit Poisson-Prozessen in unserer Form nicht umgehen. 19 Fehlerbaum Software 2.

11 21 Mensch steht in Wechselwirkung mit dem technischen System On-demand Mode CENELEC kennt kein on-demand Mode. Es wird angenommen, dass unser System ständig verfügbar sein muss. Doch wenn wir einen Bediener einbeziehen wollen, müssen wir ondemand Mode betrachten (EN ). Menschen haben eben keine Ausfallrate. Am Ende leiten wir die Gefährdungsrate mit Hilfe der Anforderungsrate ab und so kommen wir zurück in die CENELEC-Welt

Doch wenn wir einen Bediener einbeziehen wollen, müssen wir ondemand Mode betrachten (EN 61508-1).

12 Zusammenfassung Fehlerbäume in der betrieblichen Gefährdungsanalyse Fundamentaler Unterschied zwischen Wahrscheinlichkeit und Rate Poisson-Prozess mit Ausfällen Menschliche Fehler Wahrscheinlichkeit Die Fehlerbaumanalyse darf nie allein der FTA-Software überlassen werden. Fallgruben! 23 Danksagung Herr Manuel Hoeft Deutsche Bahn Netz AG Herr Dr. Thomas Pasternok Herr Dr. Armin Mayer Informatik Consulting Systems AG 24 12

Fehlerbaumanalyse darf nie allein der FTA-Software überlassen werden. Fallgruben!

13 INFORMATIK CONSULTING SYSTEMS AG Herzlichen Dank. Kontakt Dr. Paweł Buczek RAMS Competence Center Informatik Consulting Systems AG Mobile:

Ähnliche Dokumente

INFORMATIK CONSULTING SYSTEMS AG. Firmenprofil ICS AG. Automotive Industrial Solutions Transportation Aerospace & Defence

INFORMATIK CONSULTING SYSTEMS AG Firmenprofil ICS AG Automotive Industrial Solutions Transportation Aerospace & Defence Günther Trautzl Key Account Manager Industrial Solutions 20131028 ICS Präsentation