Modellbasierte Safety-Cases für zuverlässige Softwaresysteme

Transkript

1 lbasierte afety-ases für zuverlässige oftwaresysteme tefan Puchner, Bernhard chätz, tefan Wagner Fakultät für Informatik, TU München ADA-Workshop Zuverlässige oftware-ysteme Hochschule Regensburg,

2 Zuverlässige ysteme: IO oncept 2 Overall scope definition 3 and risk analysis Overall safety requirements 5 afety requirements allocation OveralI 6 7 Overall 8 8 operation and maintenance planning Overall planning safety validation planning OveralI installation and commissioning planning 9 afety-related systems: E/E/PE Realisation (see E/E/PE safety lifecycle) afety-related systems: other technology Realisation External risk reduction facilities Realisation 12 Overall installation and commissioning 13 Overall safety validation Back to appropriate overall safety lifecycle phase Overall operation, maintenance and repair 1 15 Overall modification and retrofit 16 Decommissioning or disposal IO 26262: Zertifizierung sicherheitskritischer Automotive-ysteme Ziel: Nachweis der orgfalt bei Entwicklung, Betrieb und Wartung Fokus: Korrekte Entwicklung der sicherheitsrelevanten ystemanteile Planung, Durchführung und Dokumentation der Entwicklungstätigkeiten Definition anzuwendender Methoden und Verfahren Nicht im Fokus: Nachweis der Adequanz der sicherheitsrelevanten Funktionalität 2

3 lbasierte afety-ases: Ansatz 1 oncept 2 Overall scope definition 3 and risk analysis 2 Defect Hypothesis 1 ensured for defect hypothesis 1 Failure haracterization 2 -safety ensured for failure-safety Identification Overall safety requirements 2 All relevant defects considered of behavior of system 3 Defects never lead to failures s always caused by failures 5 of behavior of environment 5 All relevant hazards considered 5 afety requirements allocation n1 Use of defect pattern libraries n2 Testing using fault injection n3 Formal verification n imulation of model of environment afety ases: Nachvollziehbare Argumentation Fokus: Entwicklung der adequaten icherheitsfunktion Prinzip: chematisierte, nachvollziehbare und wiederverwendbare Argumentation Definition eines chemas: Konstruktion nach tandardstruktur Einbettung in den Entwicklungsprozess: le als Argumentationsbasis Wiederholbares Verfahren: Verwendung von Argumentationsbausteinen 3

4 lbasierte afety-ases: Ansatz 1 oncept 2 Overall scope definition 3 and risk analysis 2 Defect Hypothesis 1 ensured for defect hypothesis 1 Failure haracterization 2 -safety ensured for failure-safety Identification Overall safety requirements 2 All relevant defects considered of behavior of system 3 Defects never lead to failures s always caused by failures 5 of behavior of environment 5 All relevant hazards considered 5 afety requirements allocation n1 Use of defect pattern libraries n2 Testing using fault injection n3 Formal verification n imulation of model of environment afety ases: Nachvollziehbare Argumentation Fokus: Entwicklung der adequaten icherheitsfunktion Prinzip: chematisierte, nachvollziehbare und wiederverwendbare Argumentation Definition eines chemas: Konstruktion nach tandardstruktur Einbettung in den Entwicklungsprozess: le als Argumentationsbasis Wiederholbares Verfahren: Verwendung von Argumentationsbausteinen 3

5 lbasierte afety-ases: Ansatz 1 oncept 2 Overall scope definition 3 and risk analysis 2 Defect Hypothesis 1 ensured for defect hypothesis 1 Failure haracterization 2 -safety ensured for failure-safety Identification Overall safety requirements 2 All relevant defects considered of behavior of system 3 Defects never lead to failures s always caused by failures 5 of behavior of environment 5 All relevant hazards considered 5 afety requirements allocation n1 Use of defect pattern libraries n2 Testing using fault injection n3 Formal verification n imulation of model of environment afety ases: Nachvollziehbare Argumentation Fokus: Entwicklung der adequaten icherheitsfunktion Prinzip: chematisierte, nachvollziehbare und wiederverwendbare Argumentation Definition eines chemas: Konstruktion nach tandardstruktur Einbettung in den Entwicklungsprozess: le als Argumentationsbasis Wiederholbares Verfahren: Verwendung von Argumentationsbausteinen 3

6 lbasierter afety-ase: truktur (ub-)oal trategy n olution esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

7 lbasierter afety-ase: truktur (ub-)oal trategy n olution esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

8 lbasierter afety-ase: truktur (ub-)oal trategy n olution of ystem esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

9 lbasierter afety-ase: truktur (ub-)oal trategy n olution of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

10 lbasierter afety-ase: truktur (ub-)oal 1 Failure characterization trategy n olution of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

11 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 Failure characterization trategy n olution of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

12 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 Failure characterization Identification trategy n olution of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

13 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization Identification trategy n olution of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

14 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

15 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution 2 All relevant faults considered of ystem 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

16 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution 2 All relevant faults considered of ystem 3 Faults never lead to failure 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

17 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution 2 All relevant faults considered of ystem 3 Faults never lead to failure avoids all hazards 5 of Environment esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

18 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution 2 All relevant faults considered of ystem 3 Faults never lead to failure avoids all hazards 5 of Environment 5 All relevant hazards considered esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

19 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution 2 All relevant faults considered of ystem 3 Faults never lead to failure avoids all hazards 5 of Environment 5 All relevant hazards considered n3 Formal verification esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

20 lbasierter afety-ase: truktur (ub-)oal 2 Fault Hypothesis 1 for fault occurrence 1 Failure characterization 2 avoidance for failure-safety Identification trategy n olution 2 All relevant faults considered of ystem 3 Faults never lead to failure avoids all hazards 5 of Environment 5 All relevant hazards considered n1 Use of defect pattern n2 Testing with fault injection n3 Formal verification n imulation of environment model esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

21 lbasierter afety-ase: truktur 2 2 Fault Hypothesis All relevant faults considered of ystem 1 for fault occurrence 3 Faults never lead to failure 1 Failure characterization avoids all hazards 2 avoidance for failure-safety avoids all hazards Each hazard countered by safety function.1 5 H1 counttered by safety function F1 of Environment Identification.n 5 Hn counttered by All safety relevant hazards Fn function considered (ub-)oal trategy n olution n1 Use of defect pattern n2 Testing with fault injection n3 Formal verification n3.1 Formal verification n3.1 n Formal verification imulation of environment model esamtstruktur: Wie wird die funktionale icherheit erreicht Fokus: tandardisierte, strukturierte Argumentation Ansatz: chematisierte, systemspezifische Konstruktion

22 lbasierter afety-ase: le lspezifikation: Welche Annahmen werden gemacht Fokus: Explizite, formalisierte Annahmen Ansatz: trukturierte, systemspezifische le Umgebungsmodell (Umgebung, erät, Nutzer) ystemmodell (oftware, Hardware, Mechanik) 5

23 lbasierter afety-ase: le 1 Accel /Decel.Force Accel./ Decel. Force peed WindResistance Vehicle peed 1 Kinetics Kinetics Vehicle Kinetics peed Resistance Aerodynamics lspezifikation: Welche Annahmen werden gemacht Fokus: Explizite, formalisierte Annahmen Ansatz: trukturierte, systemspezifische le Umgebungsmodell (Umgebung, erät, Nutzer) ystemmodell (oftware, Hardware, Mechanik) 5

24 lbasierter afety-ase: le 1 Accel /Decel.Force Accel./ Decel. Force peed WindResistance Vehicle peed 1 Kinetics Kinetics Vehicle Kinetics peed Resistance peed Aerodynamics 1 PVel MVel Velensor Velocity BrakePed AccelDecelmd 2 PPos MPos BrakePos AccelDecelmd IN OUT 1 Posensor PT_AN MF_Button 3 MF_Button A_EU Function lspezifikation: Welche Annahmen werden gemacht Fokus: Explizite, formalisierte Annahmen Ansatz: trukturierte, systemspezifische le Umgebungsmodell (Umgebung, erät, Nutzer) ystemmodell (oftware, Hardware, Mechanik) 5

25 lbasierter afety-ase: Methoden esamtstruktur: Worauf basiert die Argumentation Fokus: Bewährte, wiederverwendbare Argumentationen Ansatz: enerische, standardisierte Methoden Argumentationsmuster (z.b. Argumentationsketten) Lösungsmethoden (z.b. Fehlermuster, Analyseverfahren) 6

26 lbasierter afety-ase: Methoden avoids all hazards H1 Hn esamtstruktur: Worauf basiert die Argumentation Fokus: Bewährte, wiederverwendbare Argumentationen Ansatz: enerische, standardisierte Methoden Argumentationsmuster (z.b. Argumentationsketten) Lösungsmethoden (z.b. Fehlermuster, Analyseverfahren) 6

27 lbasierter afety-ase: Methoden avoids all hazards H1 Hn Each hazard countered by safety function.1 H1 counttered by safety function F1.n Hn counttered by safety function Fn n3.1 Formal verification n3.n Formal verification esamtstruktur: Worauf basiert die Argumentation Fokus: Bewährte, wiederverwendbare Argumentationen Ansatz: enerische, standardisierte Methoden Argumentationsmuster (z.b. Argumentationsketten) Lösungsmethoden (z.b. Fehlermuster, Analyseverfahren) 6

28 lbasierter afety-ase: Methoden H1 avoids all hazards 1 In1 PhysicalValue ensor MeasuredValue 1 Out1 Hn Each hazard countered by safety function.1 H1 counttered by safety function F1.n Hn counttered by safety function Fn n3.1 Formal verification n3.n Formal verification esamtstruktur: Worauf basiert die Argumentation Fokus: Bewährte, wiederverwendbare Argumentationen Ansatz: enerische, standardisierte Methoden Argumentationsmuster (z.b. Argumentationsketten) Lösungsmethoden (z.b. Fehlermuster, Analyseverfahren) 6

29 lbasierter afety-ase: Methoden H1 avoids all hazards 1 In1 PhysicalValue ensor MeasuredValue 1 Out1 Hn Each hazard countered by safety function TransferFunction 1.1 H1 counttered by safety function F1.n Hn counttered by safety function Fn Normal / during : out=in; Broken/ during : out = 0; [error<=3] 2 1 [error>=8] [error>=6] Untrue/ during: out = randtrans(in,50) n3.1 Formal verification n3.n Formal verification esamtstruktur: Worauf basiert die Argumentation Fokus: Bewährte, wiederverwendbare Argumentationen Ansatz: enerische, standardisierte Methoden Argumentationsmuster (z.b. Argumentationsketten) Lösungsmethoden (z.b. Fehlermuster, Analyseverfahren) 6

30 Zusammenfassung: lbasierte afety-ases lbasierte afety-ases: Ziel: Erweiterung aktueller Ansätze zur ystemqualifizierung Ansatz: chematisierte Argumentation über Korrektheit der icherheitsfunktionen Prinzipien: Konstruktion nach tandardstruktur le als Argumentationsbasis Verwendung von Argumentationsbausteinen Erprobung: afety ase für Automotive-Anwendung Adaptive eschwindigkeitsregelung Werkzeuge: MATLAB/imulink,Embedded Validator,TargetLink 7