Die Präsentation wird geladen. Bitte warten

Die Präsentation wird geladen. Bitte warten

Software in sicherheitsrelevanten Systemen Ralf Pinger / Stefan Gerken Sommersemester 2014.

Ähnliche Präsentationen


Präsentation zum Thema: "Software in sicherheitsrelevanten Systemen Ralf Pinger / Stefan Gerken Sommersemester 2014."—  Präsentation transkript:

1 Software in sicherheitsrelevanten Systemen Ralf Pinger / Stefan Gerken Sommersemester 2014

2 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page 2 Kapitel 3 - Risiko- und Gefährdungsanalyse Inhaltsübersicht 1.Was ist Risiko? 2.Was ist Gefährdung? 3.Gefährdungsraten 4.Safety Integrity Level 5.Failure Modes and Effects Analysis (FMEA) 6.Fehlerbäume (Fault Trees) 7.Markovketten

3 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Was ist Risiko? Risiko ist Eine Funktion von Schadenshäufigkeit und Schadensausmaß, also als erwarteter Schaden (pro Zeiteinheit) (für eine bestimmte Grundgesamtheit)

4 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Was ist Risiko? Unterschiedliche Arten von Risiko: Individuelles RisikoBezieht sich auf einzelne Personen Kollektives RisikoBezieht sich auf Personengruppen bzw. die Gesellschaft Risiko-Aversionerhöhte Gewichtung von Großschäden Grenzrisikogrößtes noch vertretbares Risiko Restrisikoverbleibendes Risiko nach Realisierung der Sicherheitsmaßnahmen, besteht aus bewusst akzeptierten, falsch beurteilten sowie nicht erkannten Risiken

5 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Was ist Risiko? – Gesetzliche Randbedingungen EN (Sicherheit von Maschinen) „Eine Maschine... soll sicher sein. Jedoch ist absolute Sicherheit kein komplett erreichbarer Zustand...“ EBO §2 (1) „ Bahnanlagen und Fahrzeuge müssen so beschaffen sein, dass sie den Anforderungen der Sicherheit und Ordnung genügen. Diese Anforderungen gelten als erfüllt, wenn die Bahnanlagen und Fahrzeuge den Vorschriften dieser Verordnung und, soweit diese keine ausdrücklichen Vorschriften enthält, anerkannten Regeln der Technik entsprechen.“

6 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Was ist Risiko? – Beispiel Risikograph Risikograph nach IEC

7 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Was ist Gefährdung? Gefährdung (englisch: Hazard) EN 50129: Hazard: A condition that could lead to an accident. Leveson: Safeware A hazard is a state or set of conditions of a system (or an object) that, together with other conditions in the environment of the system (or object), will lead inevitably to an accident (loss event). [....] A hazard is defined with respect to the environment of the system or component. [....] What constitutes a hazard depends upon where the boundaries of the system are drawn. [....]”

8 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Was ist Gefährdung? Gefährdung, Ursache, Unfall...

9 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Gefährdungsraten Gefährdungsrate H (t): Rate für den Übergang eines System, das zum Zeitpunkt t in einem nicht gefährlichem Zustand ist, in einen gefährlichen Zustand Rate r i,k (t): Grenzwert des Verhältnisses zwischen  der Wahrscheinlichkeit, dass ein System, das zum Zeitpunkt t in einem definierten Zustand i ist, innerhalb eines Zeitraums  t in einen Zustand k wechselt, und  dem Zeitraum  t (für  t->0) in der Einheit h -1. Also: Rate [h -1 ] x Zeiteinheit [h] = Wahrscheinlichkeit Ausfall- bzw. Reparaturrate bzw.  : Rate für den Übergang eines System, das zum Zeitpunkt t nicht ausgefallen bzw. ausgefallen ist, in einen Zustand, in dem es ausgefallen bzw. wieder betriebsfähig ist. Bei HW-Komponenten wird im Allgemeinen eine konstante Ausfallrate angenommen.

10 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Gefährdungsraten  Typischer Verlauf einer Gefährdungsrate für sicherungstechnische Systeme: Die Gefährdungsrate schwingt sich ein, deshalb spricht man vereinfachend von H   Als Faustregel kann man H  1/MTTH, MTTH ist aber (mathematisch) wesentlich aufwendiger zu bestimmen

11 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Gefährdungsraten – Beispiel Risikomatrix Risikomatrix

12 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Safety Integrity Level Geeignete Balance zwischen Maßnahmen zur Fehlervermeidung und - beherrschung Bewusste Planung der Produkteigenschaft “Sicherheit” Risikoabwägung  Für beide Kategorien müssen Anforderungen gestellt werden

13 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Safety Integrity Level  Balance mittels sogenannter SIL-Tabellen  Vorgehensweise wird in EN beschrieben  Hinter den Tabellen stecken Heuristiken, keine wissenschaftlichen Begründungen  Fast jeder Sicherheitsstandard weltweit verwendet SILs (offensichtlich zur Zeit State-of-the-art)

14 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Failure Modes and Effects Analysis (FMEA) FMEA - Was wäre, wenn etwas versagt? Die funktionale FMEA (FFA) bezieht sich auf eine (System-)Funktion. Als Richtschnur kann man folgende prinzipielle Versagensarten betrachten:  totaler Ausfall (Funktion wird überhaupt nicht erbracht)  Versagen der Schnittstelle (falsche Eingabe,...)  Funktion wird erbracht, wenn nicht gefordert  fehlerhafte Ausführung der Funktion (zu spät, nicht vollständig,...)

15 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Failure Modes and Effects Analysis (FMEA) Die Ergebnisse einer FFA (Functional Failure Analysis) werden in einer Tabelle protokolliert, die (mindestens) die folgenden Kategorien enthält:  Referenz: Eindeutige Referenz auf die Funktionsbeschreibung (z. B. eine Nummer), um die Rückverfolgbarkeit zu gewährleisten  Funktion: Benennung der Funktion  Ausfallart: Beschreibung der Art des Funktionsversagens  Effekt: Was resultiert aus dem Funktionsversagen?  Wirkung/Gefährdung: Welche Gefährdung entsteht? Entsteht eine Gefährdung unmittelbar/mittelbar?  Bemerkung: Platz für Kommentare, Rechtfertigung, Anmerkungen.... Weitere (optionale) Einträge können sein:  Häufigkeit: (geschätzte) Häufigkeit des Auftretens des Funktionsversagens  Schwere: (geschätztes) Ausmaß des resultierenden Unfalls...

16 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Fehlerbäume (Fault Trees) Der Fehlerbaum  stellt Ereigniskombinationen in Boolescher Logik dar,  die zum Top-Ereignis führen und  verwendet im Wesentlichen UND- und ODER-Verknüpfungen Eine Fehlerbaumanalyse  wird eingeordnet als deduktive Methode  hat die systematische Analyse aller möglichen Ursachen eines bestimmten unerwünschten Ereignisses (Top-Ereignis) als Ziel  erfolgt Top-down rückwärts vom Top-Ereignis zu den Ursachen Jedes Ereignis im Baum, für das keine weiteren Ursachen ermittelt werden (können), stellt ein so genanntes Basisereignis dar. Die normativen Grundlagen sowie einfache Rechenregeln finden sich in der IEC

17 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Fehlerbäume (Fault Trees) – Common Cause Failures Grenzen:  ist nur bei Wahrscheinlichkeiten exakt  bei der Berechnungen von Eintrittsraten liefert das Verfahren nur Näherungswerte  UND-verknüpfte Ereignisse müssen unabhängig voneinander sein, ansonsten sind zusätzlich ODER-Verknüpfungen erforderlich  Keine zeitliche Abfolge modellierbar

18 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Markovketten  Markovketten sind Zustandsübergangsdiagramme, mit deren Hilfe zeitliche Verläufe von Zustandsvariablen mit Aufenthaltswahrscheinlichkeiten und Übergangsraten ermittelt werden können  Hierzu müssen zuerst die verschiedenen möglichen Zustände eines Systems festgelegt werden (Normalbetrieb, gefährliche oder ungefährliche Ausfallzustände)  Danach werden die möglichen Übergänge zwischen den Systemzuständen bestimmt mitsamt der Übergangsraten in Richtung der gefährlichen bzw. ungefährlichen Zustände  Aus dem Markovmodell kann unmittelbar ein lineares Differenzialgleichungssystem abgeleitet werden

19 Software in sicherheitsrelevanten Systemen Sommersemester Ralf Pinger / Stefan Gerken Page Markovketten Grenzen:  Nur anwendbar bei konstanten Übergangsraten (meistens gültig für elektronische Einzelkomponenten)


Herunterladen ppt "Software in sicherheitsrelevanten Systemen Ralf Pinger / Stefan Gerken Sommersemester 2014."

Ähnliche Präsentationen


Google-Anzeigen