Integrierte modellgestützte Risikoanalyse komplexer Automatisierungssysteme

Transkript

1 Universität Stuttgart Institut für Automatisierungs- und Softwaretechnik Prof. Dr.-Ing. Dr. h. c. P. Göhner Integrierte modellgestützte Risikoanalyse komplexer Automatisierungssysteme Dipl.-Ing. Michael Wedel, Dipl.-Ing. Patrick Jäger Prof. Dr.-Ing. Dr. h. c. Peter Göhner, Prof. Dr.-Ing. Bernd Bertsche Entwurf komplexer Automatisierungssysteme Mai 2006 Braunschweig SYSTEM- ZUVERLÄSSIGKEIT

2 Motivation Risiken in komplexen Systemen werden zu spät erkannt Gesucht: Risikoanalyse in frühen Entwicklungsphasen Risiko zu spät erkannt Risiko zu spät erkannt technischer Defekt an einer Kaffeemaschine löste einen Küchenbrand aus Londoner Tower Bridge klemmte durch einen Softwarefehler ausgelöst [ ka-news.de] [ N24 Netzeitung] 2010 wird Software in Kraftfahrzeugen 100 Millionen Quellcodezeilen erreichen Komplexe Systeme [Sept IEEE Spectrum]

3 Gliederung Risikoanalyse komplexer Automatisierungssysteme 3-stufige Risikoanalyse in frühen Entwicklungsphasen Realisierung der drei Stufen Anwendungsbeispiel Tank Zusammenfassung und Ausblick

4 Risikoanalyse komplexer Automatisierungssysteme Globale Auswirkungen in komplexen Automatisierungssystemen Gefährdungen (Sicherheit) Funktionsbeeinträchtigungen (Zuverlässigkeit) System an den Schnittstellen bemerkbar Umgebung Definition: Globale Auswirkung Physikalischer Effekt, welcher ein Fehlverhalten des Gesamtsystems bedeutet z. B. Tank läuft über Zufluss Tank h max Abfluss

5 Risikoanalyse komplexer Automatisierungssysteme Ursachen globaler Auswirkungen Aktoren Sensoren (Elektro-) Mechanische Komponenten Physikalische Effekte gehen vom technischen System aus Technisches System befindet sich zunächst im unkontrollierten Zustand Menschliche Bedieneingriffe Technisches System Bedienpersonal Informationsgrößen System Menschliche Bedieneingriffe Rechnersystem, Software Teilsysteme üben Kontrolle aus (Wirkzusammenhänge) Auftreten globaler Auswirkungen abhängig von allen Teilsystemen

6 Risikoanalyse komplexer Automatisierungssysteme Beispiele für Wirkzusammenhänge System z. B. Überlauf eingebaut Bedienpersonal Konstruktion des technischen Systems verhindert globale Auswirkung Technisches System Rechnersystem, Software z. B. Tank läuft über Zufluss h max Überlauf Abfluss Kontrolle durch Softwareregelung fehlerhaft z. B. Fehler in der Softwareregelung

7 Risikoanalyse komplexer Automatisierungssysteme Risikoanalyse komplexer Automatisierungssysteme Risiko = Schadensausmaß Eintrittswahrscheinlichkeit Risiko globaler Auswirkungen? Bedienpersonal System Allgemeine Analyseschritte a. Globale Auswirkungen ermitteln b. Schadensausmaß bewerten c. Wirkzusammenhänge analysieren und Eintrittswahrscheinlichkeit bewerten a. z. B. Tank läuft über b. z. B. Schaden groß Technisches System c. z. B. Fehler in der Softwareregelung z. B. Eintrittswahrscheinlichkeit hoch Rechnersystem, Software

8 Gliederung Risikoanalyse komplexer Automatisierungssysteme 3-stufige Risikoanalyse in frühen Entwicklungsphasen Realisierung der drei Stufen Anwendungsbeispiel Tank Zusammenfassung und Ausblick

9 3-stufige Risikoanalyse in frühen Entwicklungsphasen Risikoanalyse in frühen Entwicklungsphasen Herausforderungen Systembestandteile für Analyse nicht verfügbar (nicht realisiert) Informationen über Systemeigenschaften unvollständig Wirkzusammenhänge noch größtenteils unbekannt Lösungskonzept: 3-stufige Risikoanalyse 1 Modellierung des Systems Modell des Systems als Informationsbasis für nachfolgende Analysen 2 Risikoabschätzung Ermittlung globaler Auswirkungen im Modell Abschätzung des Risikos 3 Risikoanalyse Risikoanalyse am Modell, später am realen System Integration verschiedener Analysemethoden

10 3-stufige Risikoanalyse in frühen Entwicklungsphasen 1 Modellierung des Systems Funktionales Verhalten des Systems im Normalbetrieb im fehlerhaften Betrieb Erkennung globaler Auswirkungen und Wirkzusammenhänge im Modell Strukturierung komplexer Systeme durch komponenten-/ blockorientierte Betrachtung Beispiele für Modellierungssprachen und werkzeuge Quantitativ / Numerisch Differentialgleichungen MATLAB/Simulink Modelica [ Qualitativ / Logisch Unified Modeling Language (UML) MATLAB/Stateflow Qualitative Prozessmodelle [ Ergebnis Stufe 1: Funktionales Modell des Systems (Komponenten)

11 3-stufige Risikoanalyse in frühen Entwicklungsphasen 2 Risikoabschätzung Analyseschritte basierend auf unvollständigen Informationen 2a. Ermittlung globaler Auswirkungen im technischen System Analyse im unkontrollierten und kontrollierten Zustand Injektion von Fehlern Technisches System Bedienpersonal System (Modell) Rechnersystem, Software 2b. Klassifikation in Kritikalitätsklassen Klassifikation der globalen Auswirkungen (unkritisch äußerst kritisch) 2c. Kritikalität einzelner Komponenten Wirkzusammenhänge ermitteln Komponenten in Kritikalitätsklasse einstufen Ergebnis Stufe 2: Komponenten + Kritikalität

12 3-stufige Risikoanalyse in frühen Entwicklungsphasen 3 Risikoanalyse Integration von Risikoanalysemethoden abhängig von der Kritikalitätsklasse Komponenten + Kritikalität unkritisch äußerst kritisch Kritikalitätsklasse System (Modell) Informationsbasis Analysemethode A Analysemethode B Analysemethode C Analysemethode D Entwicklungsfortschritt Iteratives Vorgehen Synergien Ergebnis Stufe 3: Detailliertes Risiko einzelner Komponenten

13 Gliederung Risikoanalyse komplexer Automatisierungssysteme 3-stufige Risikoanalyse in frühen Entwicklungsphasen Realisierung der drei Stufen Anwendungsbeispiel Tank Zusammenfassung und Ausblick

14 Realisierung der drei Stufen 1 Qualitative Modellierung mit SQMA Modellierung des Systems Einsatz in frühen Entwicklungsphasen Quantitative Modelle erfordern die Angabe exakter Zusammenhänge Auswahl einer qualitativen Modellierungssprache: Situationsbasierte Qualitative Modellbildung und Analyse (SQMA) Zerlegung des komplexen Systems in Komponenten auf mehreren Hierarchieebenen Intuitive Beschreibung des Systemverhaltens Qualitative Intervalle anstatt konkreter Zahlenwerte Beschreibung des Verhaltens mittels qualitativer Regeln 2. Ebene 1. Ebene Hierarchisches SQMA-Modell

15 Realisierung der drei Stufen 1 Vorgehensweise SQMA 1a. Beschreibung von Komponenten und ihren Schnittstellen Modellierung des Systems Zufluss h max Füllhöhe Einteilung in qualitative Intervalle h max Abfluss Komponente Tank 1b. Markierung kritischer Zustände, z. B. als gefährlich h max z. B. Tank läuft über ist gefährlich leer wenig voll gefüllt übergelaufen 1c. Verknüpfung der Komponenten zum Gesamtsystem

16 Realisierung der drei Stufen 2 Risikoabschätzung mittels SQMA und Risikograph Risikoabschätzung 2a. Ermittlung globaler Auswirkungen im technischen System z. B. Tank läuft über 2b. Klassifikation in Kritikalitätsklassen Risikograph nach IEC mit 5 Kritikalitätsklassen (CC 0 CC 4 ) Kriterien: Schadensausmaß, Vermeidungs- und Eintrittswahrscheinlichkeit 2c. Kritikalität einzelner Komponenten Automatische Ableitung der Wirkzusammenhänge aus dem SQMA-Modell z. B. Fehler in der Softwareregelung SQMA Analysewerkzeug

17 Realisierung der drei Stufen 3 Integration von Risikoanalysemethoden Risikoanalyse unkritisch äußerst kritisch CC 0 CC 1 CC 2 CC 3 CC 4 Failure Mode and Effects Analysis Aufbau von Fehlerpfaden durch das System Fundierte Aussage über Schadensausmaß Synergie: Kritische Ereignisse 1. Iteration FMEA FTA Software-FTA 2. Iteration FMEA Systementwurf Komponentenentwurf Fault Tree Analysis Analyse von Ursachen / Ursachenkombinationen eines kritischen Ereignisses System (Modell) Informationsbasis Systemstruktur Funktionsstruktur Fehlerzusammenhänge

18 Gliederung Risikoanalyse komplexer Automatisierungssysteme 3-stufige Risikoanalyse in frühen Entwicklungsphasen Realisierung der drei Stufen Anwendungsbeispiel Tank Zusammenfassung und Ausblick

19 Anwendungsbeispiel Tank 1 Qualitatives Modell des Gesamtsystems h max Tank läuft über Modellierung des Systems Risikoabschätzung Softwarekomponenten SQMA Analysewerkzeug 2 Risikoabschätzung 2a. Globale Auswirkung Tank läuft über 2b. Einstufung der globalen Auswirkung in Kritikalitätsklasse CC 4 2c. Mögliche Ursachen Verklemmung der Zu- und Ablaufventile Fehler in der Softwareregelung Einstufung der beteiligten Komponenten in Kritikalitätsklasse CC 4

20 Anwendungsbeispiel Tank 3 Risikoanalyse (1) Risikoanalyse Durchführung einer FMEA aufgrund der Einstufung in CC 4 Nutzung des qualitativen SQMA-Modells zur Vereinfachung der 5 Schritte der FMEA 1. Schritt FMEA: Hierarchische Systemstruktur Technisches System Tank Zulaufventil System Rechnersystem, Automatisierungssoftware Ableitung SQMA-Modell

21 Anwendungsbeispiel Tank 3 Risikoanalyse (2) Risikoanalyse 2. Schritt FMEA: Funktionsstruktur Tank befüllen Ventile regeln Zuflaufventil öffnen Ablaufventil öffnen Ableitung SQMA-Modell 3. Schritt FMEA: Fehlerzusammenhänge Ableitung Tank läuft über Zulaufventil offen Fehler in Softwareregelung

22 Anwendungsbeispiel Tank 3 Risikoanalyse (3) Risikoanalyse 4. Schritt FMEA: Risikobewertung im FMEA-Formblatt Mögliche Fehlerursachen, Fehler und Fehlerfolgen sind identifiziert Eintragung in die FMEA-Formblätter Fundierte Ermittlung des Schadensausmaßes 5. Schritt FMEA: Systemoptimierung Falls erforderlich Optimierung des Systems, um Risiko zu reduzieren - ENDE FMEA - CC 0 CC 1 CC 2 CC 3 CC 4 Durchführung weiterer Analysen 1. Iteration FMEA FTA Systementwurf Verfeinerung der Risikobewertung Software-FTA 2. Iteration FMEA Komponentenentwurf

23 Gliederung Risikoanalyse komplexer Automatisierungssysteme 3-stufige Risikoanalyse in frühen Entwicklungsphasen Realisierung der drei Stufen Anwendungsbeispiel Tank Zusammenfassung und Ausblick

24 Zusammenfassung und Ausblick Zusammenfassung 3-stufige Risikoanalyse erlaubt die Bewertung des Risikos in frühen Entwicklungsphasen Modell des Gesamtsystems als Informationsbasis für die weiteren Analysen Identifikation globaler Auswirkungen, deren Kritikalität und beteiligter Komponenten auf Basis des Modells Integration von Risikoanalysemethoden zur iterativen Verfeinerung der Risikobewertung Ausblick Erprobung der integrierten modellgestützten Risikoanalyse an großen industriellen Projekten Danksagung Arbeit im Rahmen der DFG Forschergruppe 460 System-Zuverlässigkeit SYSTEM- ZUVERLÄSSIGKEIT

25 Fragen