Funktionale Sicherheit nach ISO 26262

Transkript

1 Funktionale Sicherheit nach ISO Ein Praxisleitfaden zur Umsetzung von Vera Gebhardt, Gerhard M. Rieger, Jürgen Mottok, Christian Gießelbach 1. Auflage Funktionale Sicherheit nach ISO Gebhardt / Rieger / Mottok / et al. schnell und portofrei erhältlich bei beck-shop.de DIE FACHBUCHHANDLUNG dpunkt.verlag 2013 Verlag C.H. Beck im Internet: ISBN

2 xi Inhaltsverzeichnis 1 Einleitung Wieso die automotive spezifische Sicherheitsnorm ISO 26262:2011? ISO 26262:2011, Edition Fachausschuss für Kraftfahrzeuge Stand der Technik ISO 26262:2011 eine anwendbare Norm Beweislastumkehr Stufenweise zum ASIL-konformen Produkt Klare Zuordnung von Verantwortung Prozessmodell und Reifegrade von Prozessen Was Sie in diesem Buch erwartet Allgemeine Hinweise Zielgruppe für dieses Fachbuch Voraussetzungen und Annahmen unseres Projekts»Joy«mit dem Produkt»Joystick-Sensor« Rechte Dritter Wegweiser durch das Buch Projektsteckbrief»Joy« Die Innovation Produktinformationen Die beteiligten Firmen Das Joy-Entwicklungsteam Rechtliche Grundlagen und Pflichten

3 xii Inhaltsverzeichnis 3 Das Phasenmodell Organisatorische Anforderungen Prozessmodelle und funktionales Sicherheitsmanagement Das Phasenmodell der ISO 26262: Schaffung einer Sicherheitskultur Projektbeispiel Fragenkatalog zur Sicherheitskultur Hinweis World Cafe und Open Space Management der funktionalen Sicherheit Vorgehen und Voraussetzungen Funktionales Sicherheitsmanagement im Projekt Joy Sicherheitspolitik und Sicherheitsplan der safehicle GmbH Maßnahmen zur Sicherstellung der funktionalen Sicherheit Aktivitäten im Sicherheitslebenszyklus Praxisbeispiel Projektstory Managementaktivitäten Bestätigungsmaßnahmen Unterstützende Prozesse Tailoring-Anpassungsrichtlinien Spezifische Rollen im Sicherheitslebenszyklus Das effektive Team Projektbeispiel Ressourcenplanung Schulungsbedarf methodisch feststellen Qualifikation Der Sicherheitsmanager im Projekt Joy Rollenbeschreibung FSM Projektbeispiel Der Sicherheitskoordinator im Projekt Joy Rollenbeschreibung Sicherheitskoordinator Weitere Rollen im Sicherheitslebenszyklus Rolle Vertriebsverantwortlicher und Produktspezialist Sachbearbeiter in der Angebotsabteilung Verantwortlicher für Auftragsabwicklung

4 Inhaltsverzeichnis xiii Produktspezialist ASIL (Mitarbeiter aus dem Produktmanagement) Projektmanager Entwicklungspersonal und Validationspersonal Montagepersonal Prüfer und Personal zur Inbetriebnahme Sachbearbeiter im Service/Sachbearbeiter in der Auftragsabwicklung Servicetechniker in der Werkstatt Unabhängiger Dritter (Assessment) Rollenvielfalt Konfigurations- und Änderungsmanagement Konfigurationsmanagement Aufgabe des Konfigurationsmanagements Aktivitäten im KM am Projektbeispiel Meilensteine Baselines Schnittstellen Zugriffe Tooleinsatz und Lieferung von KM-Items Der Konfigurationsmanager Änderungsmanagement nach ISO 26262: Planung des CM im Team der Fa. safehicle Änderungen unter dem Aspekt der funktionalen Sicherheit Aspekte zur Prozessanpassung Zustimmungsprozess Beispiel-Fragenkatalog Schnittstellenmodifikation und Zustimmung Betrachtung der technischen Schnittstellenmodifikation Exkurs Retrospektive Methoden der Retrospektive Durchführung der Retrospektive Initialisierung des Sicherheitslebenszyklus und Development Interface Agreement Initialisierung Lieferantenauswahl

5 xiv Inhaltsverzeichnis 6.3 Qualifikationsanfrage und Auswahlbericht Development Interface Agreement Zusammenarbeit in der Lieferkette mit dem OEM DIA-Vorgehen am Beispiel des Projekts Joy Initialisierung des Sicherheitslebenszyklus Projekt Joy Zuordnung von Phasen und Aufgaben Exkurs Ausschreibung und Unterbeauftragung Das Konzept des Automotive Safety Integrity Level Historie und Hintergrund zum ASIL Risikoreduktion Vom Sicherheitsziel zum Sicherheitskonzept im Projekt Joy Die Bedeutung von ASIL in den Tabellen der Norm ASIL-abhängige Anforderungen und Empfehlungen Grundlagen der ASIL-Dekomposition Dekompositionsansatz Joystick-Sensor Dekomposition von Sicherheitsanforderungen Grenzen und Einschränkungen der Dekomposition Aspekt der Verfügbarkeit Kurzes Projektbeispiel für sicheren Zustand Vorteile und Implikationen durch die Anwendung der ISO Verbesserte Prozessqualität Verbesserte Geschäftsbeziehungen Verbesserte Produktqualität Finanzieller Nutzen Quantitative und qualitative Methoden Qualitative Methode Quantitative Methode Sicherheitsanalyse Qualitative und quantitative Methoden im Projekt Joy Erkenntnistheorie

6 Inhaltsverzeichnis xv 8 Gefährdungs- und Risikoanalyse Ermittlung von Gefahren und Klassifikation Durchführung der Analyse Projektbeispiel Bericht zur Gefährdungs- und Risikoanalyse Vorgehen in der Produktlebenszyklusphase Wechselwirkungen mit anderen Systemen Risikobewertung Gefährdungs- und Risikoanalyse durch den Zulieferer am Projektbeispiel Methode zur Risikobewertung ASIL-Bestimmung Konkrete Beispiele aus dem Projekt Joy Beispiel»Vortrieb« Beispiel»Bremskraft« Beispiel»Lenkwinkel« Abschluss der G&R Spezifikation der funktionalen und technischen Sicherheitsanforderungen Funktionale Sicherheitsanforderungsspezifikation Spezifikationsvorgehen Joy und Joystick-Sensor Funktionale Sicherheitsanforderungsspezifikation Technische Sicherheitsanforderungen des Subsystems Technische Anforderungsumsetzung zur Risikoreduktion Projektbeispiel Joy Systemvalidierung Zuverlässigkeit, funktionale Sicherheit und Verfügbarkeit Konflikt zwischen Kosten und Verfügbarkeit Sicherheits-Assessment Unabhängigkeit Planung des Sicherheits-Assessments Agenda zum Sicherheits-Assessment im Projekt Joy Ableitung von Maßnahmen

7 xvi Inhaltsverzeichnis 10 Verifikations- und Validationsplanung Allgemeine Hinweise zu V+V Definition zu V+V im Projekt Joy Handlungsfelder der Verifikation Verifikationsspezifikation Testbericht Handlungsfelder der Validation Umfang der Validationsplanung Gemeinsame Validationsplanung und Planungsinhalt Hardware-Software-Integration Systemintegrationstests Integrationstestmethoden Fault-Injection-Test Back-to-Back-Test Schnittstellenprüfungen Erfahrungsbasierte Tests Integration und Tests auf Fahrzeugebene Validationsplanung der Hardware Hardwareintegration und Hardware-Integrationstest Methoden im Projekt Joy Bewertung der Verletzung von Sicherheitszielen im Hinblick auf zufällige Hardwarefehler Validation der Metriken für zufällige Hardwarefehler Bewertung der Metriken der Hardwarearchitektur Input und Output zur Bewertung des Hardwaredesigns Projektbeispiel Hardwaredesign-Review Softwaremodultest Methoden zur Ableitung und Durchführung von Softwaremodultestfällen Softwareintegration und Test Softwareintegrationstest Projektbeispiel Softwaretest Verifikation der Software-Sicherheitsanforderungen Analyse und Validierung mechatronischer Systeme

8 Inhaltsverzeichnis xvii 11 Produktentwicklung auf Systemebene Anforderungen in der Konzeptphase Übersicht Initialisierung der Produktentwicklungsphase auf Systemebene Spezifikation der technischen Sicherheitsanforderungen Spezifikation von Sicherheitsmechanismen Hardware-Fehlerklassen und Metriken Vorgehensmodell zu den zufälligen Hardwarefehlern Technische Sicherheitsanforderungen im Projekt Joy Der Weg zu technischen Sicherheitsanforderungen Projektbeispiel Fehler in der internen Verarbeitung Redundanz im Systemdesign Anforderungen an die Übermittlung der Sensordaten Systemdesign Vermeidung systematischer Fehler Erkennungsmaßnahmen für zufällige Fehler Projektbeispiel Fault Tree Analysis (FTA) Alternative Metrik»CutSet-Methode«für Hardwarefehler Grenzwerte der Metriken Spezifikation des Hardware-Software-Interface (HSI) Verifikation des Systemdesigns Item-Integration und Tests Zusammenfassung Dokumentation und Arbeitsprodukte Anforderungen an die Dokumentation Kennzeichnung und geforderte Informationen »Wer schreibt, der bleibt«oder»allzu viel ist ungesund«projektbeispiel Planung und Konfliktlösung im Team Phasenübergreifende Dokumentation

9 xviii Inhaltsverzeichnis 12.4 Schlüsseldokumente der ISO 26262:2011 Teil 2»Funktionales Sicherheitsmanagement« Übergeordneter Sicherheitsmanagementplan Qualifikationsnachweise Anerkanntes dokumentiertes Qualitätsmanagementsystem Der Sicherheitsplan Der Sicherheitsnachweis Der Sicherheitsnachweis Safety Case (FS-Arbeitsprodukte) Referenzen und relevante Dokumente Referenzen zu zentralen sicherheitsrelevanten Dokumenten Definitionen, Begriffe, Abkürzungen Sicherheitsplan Item-Definition Compliance-Matrix Meeting-Protokolle Arbeitsprodukte aus Planungsprozessen Arbeitsprodukte aus der Initialisierung des Sicherheitslebenszyklus Arbeitsprodukte aus den unterstützenden Prozessen Statusberichte Sicherheitskontrollplanung für die Produktion Auszüge aus der G&R Funktionales Sicherheitskonzept Sicherheitsanforderungsspezifikation Arbeitsprodukte aus Verifikation und Validation Sicherheitsanalyse und Sicherheitsberichte Sicherheitsargumente Safety-To-do-Liste aus dem Sicherheitsnachweis Der Assessmentplan und Prozesskonformität Zusammenfassung

10 Inhaltsverzeichnis xix 12.6 Schlüsseldokumente der ISO 26262:2011 Teil 3»Konzeptphase« Item-Definition Arbeitsprodukt Einflussanalyse Gefährdungs- und Risikoanalyse Funktionales Sicherheitskonzept Abhängige Dokumentation und Arbeitsprodukte Allgemein Schlüsseldokumente der ISO 26262:2011 Teil 4»Produktentwicklung auf Systemebene« Validationsplan und Validationsberichte Sicherheits-Assessment auf Systemebene Dokumentation zur Produktionsfreigabe Technische Sicherheitsanforderungen Das technische Sicherheitskonzept Schlüsseldokumente der ISO 26262:2011 Teil 5»Produktentwicklung auf Hardwareebene« Sicherheitsplan auf Hardwareebene Spezifikationen auf Hardwareebene Dokumentation des Hardwaredesigns Sicherheitsanalyse Dokumentation der Hardware-Architekturmetriken Hardwareintegration und Hardwaretest Schlüsseldokumente der ISO 26262:2011 Teil 6»Softwarerealisierung« Planung und Initiierung Software-Sicherheitsanforderungen sowie Verifikationsplanung Softwareentwurf Softwaremoduldesign und Softwareumsetzung Softwaremodultest Softwareintegration und Test Konfigurationsdaten und Kalibrierungsdaten

11 xx Inhaltsverzeichnis 13.5 Schlüsseldokumente der ISO 26262:2011 Teil 7»Produktion und Betrieb« Produktionsplan und Produktionskontrollplan Betrieb, Wartung und Stilllegung Schlüsseldokumente der ISO 26262:2011 Teil 8»Unterstützende Prozesse« Schlüsseldokumente der ISO 26262:2011 Teil »ASIL- und sicherheitsorientierte Analysen« ASIL-Dekomposition Kriterien für die Koexistenz von Elementen Analyse abhängiger Fehler und Ausfälle Sicherheitsanalyse Zusammenfassung Reviews Allgemein Vorgehensweise bei Reviews Reviewtechniken Abhängigkeit zwischen ASIL und Reviewtechnik Lesetechniken Einführung Ad hoc Checklistenbasierte Lesetechnik Reading by stepwise abstraction Fehlerklassenbasiertes Lesen Perspektivenbasiertes Lesen Zusammenfassung Vertrauen in Softwarewerkzeuge Vertrauen in und Qualifikation von Softwarewerkzeugen Weshalb eine sorgfältige Werkzeugauswahl wichtig ist Vertrauensgrad Tool Confidence Level Werkzeug-Qualifizierungsplan Werkzeugdokumentation Werkzeug-Bug-Report

12 Inhaltsverzeichnis xxi Bewertung des Werkzeug-Entwicklungsprozesses Überprüfung der Leistungsfähigkeit des Werkzeugs Qualifizierungsbericht im Projekt Joy Exkurs: Betriebsbewährtheit Retrospektive Die Planung sicherheitsgerichteter Items Firma safehicle Prozessveränderungen aus den Planungsaktivitäten Auswertungsbericht Zusammenfassung Ausblick 269 Abschließende Worte der Autoren A Anhang 271 A.1 Arbeitshilfen-Checklisten zur Planung A.2 Beispiel für Sicherheitskultur A.3 Fundamentaler Testprozess German Testing Board (GTB) A.4 Psychologische Ursachen von Fehlern A.4.1 Denkfallen als Fehlerursache A.4.2 Zusammenfassung B Glossar 287 C Abkürzungsverzeichnis 293 D Normen und Standards 297 E Webadressen 299 F Literaturverzeichnis 301 Stichwortverzeichnis 305