Kontakt: Tel

Transkript

1 Kurzfassung: Dieser Beitrag untersucht die Anforderungen an das Messdatenmanagement, die sich direkt oder abgeleitet aus der IEC ergeben. Es wird dargestellt,: - welche Bedeutung das Modell des Sicherheitslebenszyklus für das Prüfen hat, - welche Daten innerhalb der Validierung erfasst werden müssen und - wie die Ergebnisse zu dokumentieren sind. Kontakt: klaus.nicolai@volkswagen.de Tel

2 In diesem Beitrag wurde bewusst darauf verzichtet Ergänzungen durch eigene Anmerkungen oder Beiträge aus anderen Regelungen einfließen zulassen. Er soll dem Leser die analysierten Informationen zu den Anforderungen an Test und Dokumentation aus der Norm vermitteln. 2

3 Funktionale Sicherheit bezeichnet den Teil der Sicherheit eines Systems, der von der korrekten Funktion der sicherheitsbezogenen (Sub-)Systeme und externer Einrichtungen zur Risikominderung abhängt. Dies bedeutet, dass der Bereich der funktionalen Sicherheit nur einen Teil der Gesamtsicherheit abdeckt. Nicht zur funktionalen Sicherheit gehören u. a. elektrische Sicherheit, Brandschutz, Strahlenschutz etc. Da in modernen Systemen Sicherheitsfunktionen in zunehmenden Umfang von elektronischen, insb. programmierbaren, Systemen implementiert werden, besteht die grundlegende Herausforderung bez. der funktionalen Sicherheit darin, die korrekte Funktion von komplexen programmierbaren Systemen sicherzustellen. Dazu müssen geeignete Methoden zur Vermeidung systematischer Fehler (in der Regel auf menschliche Fehler bei der Spezifikation, Implementierung etc. zurückzuführen) sowie zur Beherrschung von Ausfällen und Störungen (in der Regel physikalische Phänomene) benutzt werden. Die Aspekte der Funktionalen Sicherheit für elektrische oder elektronische (programmierbare) Systeme sind in der Normenreihe IEC Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme beschrieben. 3

4 Der deutsche Titel der Norm ist Funktionale Sicherheit sicherheitsbezogener elektrischer / elektronischer / programmierbarer elektronischer Systeme. Als DIN EN ersetzt sie die V VDE Im Original wird auf ca. 900 Seiten in 7 Teilen die Methodik zur Konzeption, Planung, Entwicklung, Realisierung, Inbetriebnahme, Modifikation und Außerbetriebnahme mit Deinstallation beschrieben. Dies geschieht in einem 3-Ebenen Modell, welches sich im Kern mit technischen Maßnahmen zu System, Hard- und Software beschäftigt. Eingebettet sind diese Punkte in Themen zu den entwicklungsunterstützenden Prozessen wie Verifikation & Validierung, Dokumentation oder Modifikation. In dem Standart werden die Anforderungen entsprechend der Sicherheitsstufe Safety Integety Level (SIL) skaliert. Für automotive Projekte wie Elektrisches Lenken oder -Bremsen ergeben sich daraus ca. 400 Forderungen, die sich u.a. auf die Gebiete - Funktionale Anforderungen an die Elektronik - Anforderungen an die Qualitätssicherung beim Hersteller - Anforderungen an die Verifikation und Validierung beim Hersteller sowie durch Dritte erstrecken. Eine auf der IEC aufbauende Norm für Sicherheitsfunktionen im Automobil (ASIL) ist in Arbeit. 4

5 Um auf systematische Art und Weise alle Tätigkeiten zur Erreichung des erforderlichen Sicherheits-Integritätslevels abzuhandeln, verwendet die Norm als technischen Rahmen einen gesamten Sicherheitslebenszyklus. Zu Beginn des Sicherheitslebenszyklus erfolgt eine Gefährdungsanalyse, in der der SIL und damit auch Umfang und Art weiterer Anforderungen bestimmt wird. Die Spezifikation der gesamten Sicherheitsanforderungen bildet ein wichtiges Ausgangsdokument zur Planung der Validierung. Bis zu diesem Punkt betrachtet die Norm immer das Gesamtsystem. Danach erfolgt eine Aufteilung der Sicherheitsanforderungen auf einzelne Komponenten. Die Planung der Gesamtvalidierung erfolgt parallel zur eigentlichen Realisierungsphase. Nach Installation und Inbetriebnahme wird dann die Sicherheits-Gesamtvalidierung durchgeführt. Innerhalb der Realisierungsphase erfolgt eine Validierung der jeweiligen Komponenten. Innerhalb der Realisierung wird unterschieden in E/E/EPS-Sicherheitslebenszyklus und den Software-Sicherheitslebenszyklus. 5

6 Ausgangspunkt der Realisierungsphase (hier für E/E/EPS-Hardware dargestellt) ist die Spezifikation der zugeordneten Sicherheitsfunktionen. In dieser Phase wird wiederum parallel zur Entwicklung ein Validierungsplan für die Sicherheitsfunktionen erstellt. Nach der Integration erfolgt die Validierung innerhalb der Realisierungphase. Die Realisierungsphase für die Software,in der ebenfalls validiert wird, erfolgt ähnlich zum gleichen Zeitpunkt. Beide Realisierungsphasen werden gefolgt von der Gesamt-Installation und Inbetriebnahme, die wiederum in die Sicherheits-Gesamtvalidierung mündet. Somit gibt es insgesamt 3 Validierungsphasen im gesamten Sicherheitslebenszyklus. 6

7 Ziel der Planung ist es, die Validierung zu erleichtern. Es muss ein Plan entwickelt werden, der die o.g. Punkte enthalten muss. Anmerkung: In der Formulierung des Normtextes wird ebenfalls ein muss verwendet. Dies bedeutet, dass die Erstellung des Plans eine Pflicht ist und die inhaltlichen Angaben des Plans Pflichtinhalte darstellen. 7

8 Ziel der Sicherheitsvalidierung ist es nachzuweisen, dass die Spezifikation der Sicherheitsanforderungen erfüllt werden. Die Validierungstätigkeiten müssen in Übereinstimmung mit dem Validierungsplan durchgeführt werden. Für alle Quantitativen Messungen müssen Prüfmittel verwendet werden, die nach einer eigenen Spezifikation, die auf eine nationale Norm rückführbar ist oder nach einer Herstellerspezifikation kalibriert sind. Die Kalibrierungsdaten sind im Validierungsbericht anzugeben. Anmerkung: Der Validierungsbericht unterscheidet sich mit seinen o.g. Angaben von einem Testreport, wie er z.b. mit dem DIADEM Report-Generator erstellt wird. Dieser Report kann aber das Ergebnis der Validierungtätigkeit (s.o.) darstellen. Idealerweise können die geforderten Angaben für den Validierungsbericht als Metainformationen gleich bei der Messdatenerfassung in dem TDM Format gespeichert werden. Das XML-Format der TDM-Datei bietet den Systemen der Dokumentlenkung (siehe : Anforderungen an die Dokumentation; Seite 10 ) auf einfache Weise zugriff auf die erforderlichen Informationen. Durch die Trennung von binären Messdaten und lesbaren Metainformationen bietet das TDM Format hier einen deutlichen Vorteil gegenüber anderen automotiven Standartformaten, die Metainformationen zwar ebenfalls mit den Messdaten abspeichern können, dies jedoch in einem schwieriger zu lesenden Binärformat tun. 8

9 Aus der Definition der Begriffe Verifikation und Validierung im Teil 4 der DIN EN sowie deren Anmerkungen lässt sich ableiten: Die Verifikation bzw. Validierung kann als Analyse oder als Prüfung (Messung) ausgeführt werden. In beiden Fällen muss aber eine Nachweis erstellt werden. Dieser Nachweis hat bestimmten Anforderungen der Dokumentation zu genügen. 9

10 Die Norm befasst sich im Wesendlichen mit den Informationen und nicht mit Gestalt und Aussehen der Dokumentation. Die Informationen müssen i.a. auch nicht in Physikalischen Dokumenten vorhanden sein. In erster Linie müssen Dokumente hinreichende Informationen für die jeweils nachfolgenden Phasen des Sicherheits-Lebenszyklus enthalten. Die Verfügbarkeit der Dokumente muss ausreichend sichergestellt sein. Inhaltlich sollen die Informationen genau aber auch knapp formuliert sein sodass sie von den Personen, die sie verwenden müssen einfach zu verstehen sind. Ebenfalls sollte auch auf eine Pflegbarkeit geachtet werden. Name oder Titel sollte so gewählt werden, dass sie den Anwender auf den Inhalt hinweisen. Für größere Dokumente ist eine Gliederung mit Registereinteilung sinnvoll um einen schnellen Zugriff auf die benötigten Informationen zu erleichtern. Die Struktur darf Firmeneigene Verfahren sowie Aspekte aus der Arbeitspraxis berücksichtigen. Wichtig ist ein Revisionsindex (Versionsnummer),der die Identifikation verschiedener Versionen eines Dokuments ermöglicht und die letzte Version eines Dokuments erkennen lässt. Alle wichtigen Dokumente müssen überarbeitet, geändert, überprüft und genehmigt werden. Sie müssen einem angemessenen System der Dokumentenlenkung unterliegen. Vergl. - Eigenschaften von Diadem Reports - Eigenschaften des Diadem Datafinders insb. als Netzwerkversion. Für automatische und halbautomatische Werkzeuge zur Erstellung von Dokumentationen können spezielle Verfahren notwendig sein, um sicherzustellen, dass Maßnahmen für das Versionsmanagement und für andere Kontrollaspekte vorhanden sind. 10

11 Außerhalb dieser Norm finden sich in der Literatur weitere Anforderungen an Messdaten. Anhand dieser Kriterien kann eine Untersuchung über geeignete Messdaten-Formate angestellt werden. In der Praxis sollte dabei auch immer der Fall berücksichtigt werden, dass das ursprüngliche Werkzeug zur Datenanalyse nicht (mehr) verfügbar ist. Ebenfalls hat sich gezeigt, dass durchaus Fehler bei der Formatumwandlung entstehen können. 11