Begriffserklärungen und Beispiele für Sicherheitskritische Systeme

Größe: px

Ab Seite anzeigen:

Download "Begriffserklärungen und Beispiele für Sicherheitskritische Systeme"

Silvia Hartmann
vor 6 Jahren
Abrufe

1 Begriffserklärungen und Beispiele für Sicherheitskritische Systeme Seminar Sicherheitskritische Systeme 07., 08. Oktober 2004 Henning Westerholt

2 Gliederung Einführung Wichtige Begriffe Probleme Computer basierter Systeme Fehlermanagment Stromausfall in den USA Was ist passiert Gründe Komplexität

3 Gliederung Systemanforderungen Sicherheitsanforderungen Der Flugzeugabsturz am Bodensee Was ist passiert Gründe TCAS Systemüberblick Probleme bei der Entwicklung

4 Einführung Warum überhaupt mit SkS beschäftigen? Computer sind allgegenwärtig Schätzungen (Jahr 2000): Ca. 5 Mrd. Mikrocontroller wurden hergestellt (und eingebaut..) Im durchschnittlichen Haushalt gibt es über 240 Mikrocontroller Davon allein dutzende im Auto Quelle:

5 Einführung Sicherheitsimplikationen sind oft nicht sofort sichtbar Ist ein Toaster gefährlich? Ach Unsinn, er kann vielleicht mein Toast verbrennen! Ja? Thermostat ist fehlerhaft führt zu nicht abschalten der Energie Daraus entwickelt sich ein Wohnungsbrand In einem Hochhaus..

6 Was ist gefährlich? Allgemein Steuern und Regeln Kontrolle von Energie, auch von kleinen Mengen Fazit: Jeder Informatiker wird im Laufe seiner Karriere SkS entwerfen Deshalb ist Grundwissen wichtig! Eine Abschätzung ist bei Beginn jedes Projektes notwendig

7 Wichtige Begriffe Sicherheit Was ist ein SkS? Formen von SkS Kontrollsysteme Schutzsysteme (Warnsysteme) Hochintegrierte Systeme

8 Wichtige Begriffe Gefährdung, Vorfall, Unfall Risiko, -abschätzung Integritätslevel Jedes Projekt muss einen angemessenen Integritätslevel zugewiesen bekommen Anpassung der Entwicklung daran

9 Computer basierte Systeme Haben viele Vorteile Schnell Günstig zuverlässig Deshalb werden sie immer umfassender eingesetzt Auch für klassische fest-verdrahtete Lösungen

10 Computer basierte Systeme Aber auch Nachteile Sehr hohe Komplexität Mangelnde Vorhersagbarkeit Unendlich viele mögliche Fehlerzustände Beispiel: int test(int a, int b){ return a/(a+b) } //def: int i, 0=<i< Zustände, fast alle korrekt..

11 Folgen Vollständiges testen von Computer basierten Systemen unmöglich Da Perfektion im Design und Fertigung nicht erreichbar ist, treten immer Fehler auf Durchführen von Maßnahmen, um den Fehlern zu begegnen

12 Fehlermanagment Fehlervermeidung Formale Methoden Fehlerbehebung Testen von Hard- und Software Fehlererkennung Prüfroutinen Fehlertoleranz Verschiedene Formen von Redundanz

13 Der Stromausfall in USA Am 14. August 2003 Acht Staaten im Nordosten der USA und Teile von Kanada betroffen Schaden: ca. 6 Mrd. US$ Bis zu fünf Tage kein Strom Auswirkungen auf 50 Millionen Menschen

14 Der Ausfall im Überblick

15 Das Stromnetz in der Region

16 Gründe für den Ausfall Mangelhaftes Systemverständnis und Überlastung des Netzes Hohe Komplexität (später mehr darüber) Fortschreitender Ausfall von wichtigen Netzkomponenten Netzbetrieb an den Grenzen der Vorschriften Aber die Situation wäre kontrollierbar und sicher gewesen!

17 Gründe für den Ausfall Ungenügendes Situationsbewusstsein und technische Probleme Softwareprobleme in der Leitstelle Keine Kommunikation zwischen Technikern und Bedienern Mangelhafte Schulung für Notfälle Folge: Keine Warnfunktionen mehr, die vorhandenen Informationen waren falsch

18 Gründe für den Ausfall Unzureichendes Beschneiden der Bäume Starke Belastung des Netzes durch aus diesem Grund ausfallende Leitungen Überlastung der Leitungen verstärkte den Effekt noch Hauptgrund für den Beginn der Kettenreaktion

19 Gründe für den Ausfall Fehlerhafte oder keine Echtzeitüberwachung und mangelhafte Zusammenarbeit Überwachung des Netzes nur durch technische Hilfsmittel, die defekt waren, möglich Verletzung der n-1 Bedingung wird deshalb bei Koordinator nicht erkannt Keine Vorschriften und Verfahren für Zusammenarbeit der einzelnen Instanzen

20 Komplexität "Complexity is the worst enemy of security" Bruce Schneier Das selbe gilt auch für safety

21 Komplexität Wichtigste Regel: KISS Leider im Normalfall nicht durchsetzbar Nur bei sehr kritischen Projekten Beispiele Windows 2k: Millionen Zeilen Code Red-Hat 7.2: 30 Millionen Zeilen

22 Ein dynamisches System

23 Das Ende der Kettenreaktion Diese und die vorgehenden Grafiken:

24 Stromausfall USA - Fazit Problem der Komplexität Verwendung von handelsüblichen Systemen für SkS Scharfer Wettbewerb Preisdruck, Sparmaßnahmen Folge: In Zukunft mehr Probleme..

25 Systemanforderungen Zuverlässigkeit Verfügbarkeit Integrität der Daten des Systems Störungssichere Systeme Verlässlichkeit

26 Sicherheitsanforderungen Der eigentliche Zweck des SkS Berücksichtigung der Systemanforderungen Verschiedene Typen Wächtermechanismus Sperrmechanismus Konflikte zwischen Anforderungen müssen berücksichtigt werden

27 Der Flugzeugabsturz am Bodensee Am 01. Juli 2002 stoßen in m Höhe über dem Bodensee eine Tupolev und Boing zusammen 71 Menschen sterben Fehler des Fluglotsen und technische Mängel der Flugsicherung führten dazu Widersprüchliche Angaben von TCAS System und Fluglotse

28 Das TCAS System Ist ein Annäherungswarnsystem Aktive Funktionsweise Pilot muss auf Hinweise angemessen reagieren Soll Zusammenstöße in der Luft verhindern Pflicht in größeren Flugzeugen Warnung über optische und akustische Signale

29 Das TCAS System Grafik:

30 Gründe für den Zusammenstoß Technische Mängel bei der Flugsicherung Defektes Telefon Bodenkollisionswarnsystem defekt Stress und Überlastung bei dem Lotsen Er musste einen Kollegen vertreten Er wusste nicht, dass sein Warnsystem defekt war

31 Probleme mit TCAS Anfangs hohe Anzahl an Fehlalarmen System zu empfindlich Mangelhaftes Testen während der Entwicklung Wenig Vertrauen der Piloten in die Verlässlichkeit des Systems Formelle Probleme bei den Luftfahrtvorschriften

32 Flugzeugabsturz Bodensee - Fazit Trotz formeller Methoden anfangs kein sicheres System Aber mittlerweile: Zusätzliche Test mit reellen Daten Internationale Vorschriften nachgebessert Backup-Einrichtungen und mehr Personal bei der Flugsicherung

33 Vielen Dank für die Aufmerksamkeit! Fragen? Jetzt: Kontakt:

Ähnliche Dokumente

Entwurfsmuster und Softwarearchitekturen für sicherheitskritische Systeme

1 Entwurfsmuster und Softwarearchitekturen für sicherheitskritische Systeme Für das Seminar Analyse, Entwurf und Implementierung zuverlässiger Software Von: Andreas Seibel Betreut durch: Dr. Holger Giese