Elektronische Sicherheitssysteme

Transkript

1 Josef Börcsök Elektronische Sicherheitssysteme Hardwarekonzepte, Modelle und Berechnung f 2., überarbeitete Auflage Hüthig Verlag Heidelberg

2 Inhaltsverzeichnis 1 Einleitung Gründlegende Forderungen 4 2 Grundlagen der Sicherheitstechnik in Rechnersystemen Risikodefinition und Risikoanalyse Risiko und Folgen der Fehlfunktion Risikobewertung Risikograph i Anforderungsklassen! Akzeptanz eines Risikos.; Normative Institutionen und die Rollep/on Normen und Standards 31 3 Allgemeines zur Entwicklung sichefheitskritischer Rechner Allgemeine abstrakte Systembeschreibung Deskription Korrektheits- und Versagenswahrscheinlichkeit eines Systems 39 4 Fehler^ Fehlerquellen - Fehlerauswirkung Grundlagen Ausfalle und Fehler Fehlerquellen.' * Interne Fehlerquellen Externe Fehlerquellen # Bedeutung von Fehlerquellen 'Fehlerauswirkungen., 48 5 Entwicklungsaspekte für sichere Hardware Fehlerannahmen eingesetzter Hardwarekomponenten in sicheren Rechnersystemen.52 6 Entwicklungsmodelle für Software in sicherheitsgerichteten Systemen Wasserfall-Modell Spiral-Modell Rapid Prototyping V-Modell ' Softwareentwicklung für sicherheitsgerichtete Systeme Festlegen der Sicherheitsanforderungen Vorgehen bei der Implementierung Strukturiertes Programmieren Modularisierune 62

3 XIV Inhaltsverzeichnis Objektorientierung Kodierungsregeln Nachweis der Zuverlässigkeit Inspektion Review Walkthrough Statische Analyse Programmkorrektheitsbeweis Test 67 7 Maßnahmen zur Fehlervermeidung und Fehleraufdeckung in Softwaresystemen Software-Diversität Programmlaufüberwachung Zeitliche Überwachung Logische Überwachung Buserweiterung Überwachung durch Zählverfahren Überwachung mit Rücksprungkontrolle 76 / Fehleraufdeckungsgrad einer Programmablaufüberwachung 76 '/ 7.3 Reale Überwachungsmaßnahme 78 ' {'."' 8 Verifikation, Validation und Sicherheitsplan Planung für Verifikation und Validation " Sicherheitsplan 83 9 Methoden zur Fehlererkennung 8" 9.1 Fehlerbaumanalyse Ereignis-Baum-Analyse 8? 9.3FMEA 9( Entwicklung und Anwendung der FMEA 9! Definitionen und Grundbegriffe 9: * Abweichung/Ausfall/Fehler/Irrtum 9' Verfügbarkeit 9: Zuverlässigkeit 9< Hauptarten der FMEA Erstellen einer FMEA - Allgemein.* Stufe I: Systembeschreibung, Stufe II: Fehleranalyse. : Stufe III: Risikobeurteilung Stufe IV: AktivitätenQualitätsverbesserung Stufe V: Ergebnisbeurteilung/Einführung der Verbesserungsmaßnahmen Durchführung einer FMEA Unterschiede zwischen einer allgemeinen FMEA und einer speziellen FMEA Möglichkeiten der Verbesserung Kurzbeschreibung einer Muster-FMEA Ausfallratensammlung 11

4 r Inhaltsverzeichnis XV 10 Mathematische und statistische Grundlagen..: Kombinatorik; Kombination, Variation, Permutation Permutation Variation Kombination Fehlerkombinationsbetrachtung sicherheitsgerichteter Rechnerarchitekturen Fehlerkombinationsmöglichkeiten des Ioo2-Systems Interne Strangbetrachtung des Ioo2-Systems Ausfall eines Elementes im Strang Ausfall beider Elemente im Strang : Ausfall eines Stranges Tabellarische Fehlerkombinationen der 1 oo2-architektur Fehlerkombinationsmöglichkeiten eines Ioo3-Systems Interne Strangbetrachtung des Ioo3-Systems Ausfall eines Elementes im Strang Ausfall beider Elemente im Strang Strangbetrachtung im Ioo3-System Ausfall eines Stranges Ausfall von zwei Strängen ' Minimum zwei Fehlfunktionpriin zwei Strängen Drei Fehlfunktionen in z^ei Strängen 131 / Maximum vier Fehlfuriktiönen in zwei Strängen Gesamtheit der möglichen Fehlerkombinationen für ein Ioo3-System Tabellarische Fehlerkombinationen ' Fehlerkombinationsmöglichkeiten in einem 2oo3-System mit zwei Elementen il Interne Strangbetrachtung des 2oo3-Systems Ausfall eines Elementes im Strang Ausfall beider Elemente im Strang Tabellarische Fehlerkombinatibnen Fehlerkombinatfonsmöglichkeiten eines 2oo3-Systems mit drei Elementen Interne Strangbetrachtung des 2oo3 5 Systems Ausfall eines Elementes im Strang 138 ' Ausfall von zwei Elementen im Strang Dreifacher Fehler in einem Strang Strangbetrachtung im 2oo3-System Ausfall eines Stranges Fehlerkombinationsmöglichkeiten eines 2oo4-Systems Interne Strangbetrachtung des 2oo4-Systems Ausfall eines Elementes im Strang Ausfall beider Elemente im Strang Strangbetrachtung im 2oo4-System Ausfall eines Stranges Ausfall von zwei Strängen Minimum zwei Fehlfunktionen in zwei Strängen Drei Fehlfunktionen in zwei Strängen Maximum vier Fehlfunktionen in zwei Strängen Gesamtheit der möglichen Fehlerkombinationen für ein 2oo4-System 144

5 XVI Inhaltsverzeichn i.#, 10.8 Fehlerkombinationsmöglichkeiten eines 2oo4-Systems mit drei Elementen 14' Interne Strangbetrachtung des 2oo4-Systems 14: Ausfall eines Elementes im Strang 14: Ausfall von zwei Elementen im Strang 14i Dreifach-Fehler in einem Strang Strangbetrachtung im 2oo4-System mit drei Elementen Ausfall eines Stranges Ausfall von zwei Strängen Minimum zwei Fehlfunktionen in zwei Strängen Drei Fehlfunktionen in zwei Strängen : Vier Fehlfunktiönen in zwei Strängen Zwei Doppelfehler Drei Fehler in einem Strang und einer in dem zweiten Strang Fünf Fehlfunktionen in zwei Strängen Sechs Fehlfunktionen in zwei Strängen Gesamtheit der möglichen Fehlerkombinationen Wahrscheinlichkeiten lf Begriff der Wahrscheinlichkeit Berechnungsregeln der Wahrscheinlichkeit Addition von Wahrscheinlichkeiten Multiplikation von Wahrscheinlichkeiten Totale Wahrscheinlichkeiten 11 Wahrscheinlichkeitsverteilungen 1< 11.1 Diskrete Wahrscheinlichkeitsverteilungen 1( 11.2 Stetige Wahrscheinlichkeitsverteilungen 1< 11.3 Lage- und Formparameter diskreter und stetiger Verteilungsfunktionen 1 ( 11.4 Exponentialverteilung 1< 11.5 Rechteckverteilung oder Gleichverteilung li 11.6 Binomialverteilufig *?. 1»11.7 Weibull-Verteilung Lognormal-Verteilung : x 2 -Verteilung Student-Verteilung Grenzwertsatz Konfidenzintervall Konfidenzintervall für den Erwartungswert mit Hilfe der % 2 -Verteilung., l Konfidenzintervall für den Erwartungswert mit Hilfe der t-verteilung Schaltungsmaßnahmen zur Zuverlässigkeitserhöhung Kenngrößen der Zuverlässigkeit 12.2 Ausfallwahrscheinlichkeit 12.3 Mittlere Lebensdauer 12.4 Mittlere Instandsetzungszeit 12.5 Mittlere Brauchbarkeitsdauer 12.6 Verfügbarkeit 12.7 Ausfallrate Ä(t) 12.8 Zuverlässigkeitsmodelle für Gerätesysteme

6 Inhaltsverzeichnis XVII Systeme ohne Redundanz Systeme mit Redundanz Gemischte Systeme Redundante Systeme mit unterschiedlicher Ausfallrate Ersatz von redundanten Systemkomponenten durch Einzelsystemkomponenten PFD.-Berechnung, /?-Faktor und Diagnoseabdeckung Grundlagen Herleitung der /"FD^-Gleichungen für Systemarchitekturen Allgemeine Betrachtungen lool-system Ioo2-System Berechnung der Ausfallwahrscheinlichkeit bei common-cause-fehlern Berechnung der Ausfallwahrscheinlichkeit bei einfachen Fehlern oo2-System Ioo3-System Berechnung der Ausfallwahrscheinlichkeit bei common-cause-fehlern Berechnung der Ausfallwanrscheinlichkeit bei einfachen Fehlern oo3-System ' Berechnung der Ausfallwahrscheinlichkeit bei common-cause-fehlern Berechnung der Ausfallwahrscheinlichkeit bei einfachen Fehlern oo4-System g<\ 255 / Berechnung der AusfalTwahrscheinlichkeit bei common-cause-fehlern Berechnung der Ausfallwahrscheinlichkeit bei einfachen Fehlern loo2d-system Berechnung der Ausfallwahrscheinlichkeit bei common-cause-fehlern Berechnung der Ausfallwahrscheinlichkeit bei einfachen Fehlern oo4D-System Berechnung der Ausfallwahrs^cheinlichkeit bei common-cause-fehlern Berechnung der Ausfallwahrscheinlichkeit bei einfachen Fehlern Berechnung des PF > avg -Wertes für eine Reihenarchitektur Berechnung des PFD avg -Wertes für eine Reihen-Parallelarchitektur Berechnung des /^-Faktors Berechnung des PFDavg-Wertes für ein mehrkanaliges System Markov-Modell Einleitung Möglichkeiten des Markov-Modells Theoretische Grundlagen der Markov-Modelle Zeitabhängiges Markov-Modell Markov-Modell-Berechnung für ein sicherheitsgerichtetes System Übergangsmatrix P für ein System-Modell Baumdiagramm des redundanten System-Modells Berechnung der Grenzwert-Zustandswahrscheinlichkeiten unabhängig vom Ausgangszustand mit der Matrixmultiplikation Berechnung der Grenzwert-Zustandswahrscheinlichkeiten in Abhängigkeit vom Anfangszustand Start im Zustand Z o ; 307

7 XVIII Inhaltsverzeichnis \A.SA.2 StavV uw Z.\\sVat\d Z 3\\ Start im Zustand Z 2 3\ Start im Zustand Z Start im Zustand Z Start im Zustand Z Start im Zustand Z Berechnung der zeitabhängigen Verfügbarkeit : Berechnung der zeitabhängigen Zuverlässigkeit, Vergleich von Verfügbarkeit und Zuverlässigkeit Grundlagen und Erläuterungen der Systeme (Verfahren und Modelle) Einleitung Überwachungskonstruktionen Systemkonfiguration und Voraussetzungen lool-system PFD-Fehlerbaum der lool-architektur Markov-Modell für die lool-architektur Berechnung des MTrF-Wertes 347,,15.4 Ioo2-System PFD-Fehlerbaum der Ioo2-Architektur Markov-Modell für die Ioo2-Architektur Berechnung des MTTF-Wertes oo2-System PFD-Fehlerbaum der 2oo2-Architektur Markov-Modell der 2oo2-Architektur Berechnung des M7TF-Wertes Ioo3-System PFD-Fehlerbaum der Ioo3-Architektur Markov-Modell für die Ioo3-Architektur Berechnung des M7TF-Wertes 375 l r 5.7 2oo3-System PFD-Fehlerbaum der 2oo3-Architektur 37S Markov-Modell der 2oo3-Architektur Berechnung des MTTF-Wertes : 38( oo4-Systeme, 39( PFD-Fehlerbaum des 2oo4-Systems Markov-Modell der 2oo4-Architektur.». 39' Berechnung des M7TF-Wertes '. 39! 15.9 loo2d-system 40( PFD-Fehlerbaum der loo2d-architektur 40' Markov-Modell der loo2d-architektur Berechnung des MTTF-Wertes 41: oo4D-System 41: PFD-Fehlerbaum der 2oo4D-Architektur :.41' Markov-Modell der 2oo4D-Architektur Berechnung des MTTF-Wertes Berechnung des MTTF-Wertes verschiedener Architekturen MTTF-Wertefür Eingangselemente 45

8 rinhaltsverzeichnis XIX A/7TF-Werte für Rechnerelemente MT7F-Werte für Ausgangselemente MTTF-Bestimmung durch eine Monte-Carlo-Simulation Einführung Erläuterungen zur Monte-Carlo-Simulation Mathematische Grundlagen Zufallszahlen Monte-Carlo 1 Algorithmus Rechenalgorithmus zur Berechnung des MTTF mit der Monte-Carlo- Simulation Anwendung auf verschiedene Systemarchitekturen lool-system Ioo2-System loo2-systemmit/?-faktor oo3-System oo4-System j loo2d-systemmit/?-faktor..j Vergleich der MTTF-Werte berechnet mit Markov und MCS für ein SIS 557 Literaturverzeichnis \y& Abkürzungsverzeichnis 0i Stichwortverzeichnis 593 l