Beispiele [ 1 ] für sicherheitskritische Systeme. Von links nach rechts, von oben nach unten: das Glascockpit einer C-141 , ein Herzschrittmacher , das Space Shuttle und der Kontrollraum eines Kernkraftwerks .

Ein sicherheitskritisches System [ 2 ] oder lebenskritisches System ist ein System, dessen Ausfall oder Fehlfunktion zu einem (oder mehreren) der folgenden Ergebnisse führen kann: [ 3 ] [ 4 ]

  • Tod oder schwere Verletzungen von Personen
  • Verlust oder schwere Beschädigung von Ausrüstung/Eigentum
  • Umweltschäden

Ein sicherheitsrelevantes System (manchmal auch sicherheitsbeteiligtes System genannt ) umfasst alle Komponenten (Hardware, Software und menschliche Faktoren), die zur Ausführung einer oder mehrerer Sicherheitsfunktionen erforderlich sind. Ein Ausfall dieser Komponenten würde das Sicherheitsrisiko für die beteiligten Personen oder die Umwelt erheblich erhöhen. [ 5 ] Sicherheitsrelevante Systeme tragen nicht die alleinige Verantwortung für die Kontrolle von Gefahren wie Todesfällen, schweren Verletzungen oder schweren Umweltschäden . Die Fehlfunktion eines sicherheitsrelevanten Systems wäre nur in Verbindung mit dem Ausfall anderer Systeme oder menschlichem Versagen gefährlich. Einige Sicherheitsorganisationen, wie beispielsweise die Health and Safety Executive (HSE) im Vereinigten Königreich , bieten Leitlinien zu sicherheitsrelevanten Systemen an. [ 6 ]

Derartige Risiken werden üblicherweise mit Methoden und Werkzeugen der Sicherheitstechnik gemanagt . Ein sicherheitskritisches System ist so ausgelegt, dass weniger als ein Mensch pro Milliarde (10⁹) Betriebsstunden verloren geht . [ 7 ] [ 8 ] Typische Entwurfsmethoden umfassen die probabilistische Risikoanalyse , eine Methode, die die Fehlermöglichkeits- und Einflussanalyse (FMEA) mit der Fehlerbaumanalyse kombiniert . Sicherheitskritische Systeme basieren zunehmend auf Computern .

Sicherheitskritische Systeme sind ein Konzept, das häufig zusammen mit dem Schweizer-Käse-Modell verwendet wird , um (üblicherweise in einem Bow-Tie-Diagramm ) darzustellen, wie sich eine Bedrohung durch das Versagen mehrerer kritischer Barrieren zu einem schweren Unfall ausweiten kann. Diese Verwendung ist insbesondere im Bereich der Anlagensicherheit üblich geworden , vor allem bei der Anwendung in der Öl- und Gasförderung, sowohl zu Veranschaulichungszwecken als auch zur Unterstützung anderer Prozesse wie Anlagenintegritätsmanagement und Vorfalluntersuchung . [ 9 ]

Zuverlässigkeitsregime

Für sicherheitskritische Systeme existieren verschiedene Zuverlässigkeitsregime:

  • Ausfallsichere Systeme arbeiten auch dann weiter, wenn ihre Steuerungssysteme ausfallen. Beispiele hierfür sind Aufzüge , die Gasthermostate in den meisten Heizungsanlagen und passiv sichere Kernreaktoren . Der Ausfallbetrieb ist jedoch mitunter unsicher. Die Abschusssteuerung von Atomwaffen bei Kommunikationsausfall wurde für die US-Atomstreitkräfte verworfen, da sie ausfallsicher ist: Ein Kommunikationsausfall würde den Abschuss auslösen, weshalb dieser Betriebsmodus als zu riskant eingestuft wurde. Dies steht im Gegensatz zum im Falle eines Kommunikationsausfalls tödlichen Ausfalls des Perimeter- Systems aus der Sowjetzeit. [ 10 ]
  • Ausfallsichere Systeme können im Fehlerfall mit reduzierter Effizienz vorübergehend weiterarbeiten. [ 11 ] Ein Beispiel hierfür sind die meisten Reserveräder: Sie unterliegen in der Regel bestimmten Einschränkungen (z. B. einer Geschwindigkeitsbegrenzung) und führen zu einem höheren Kraftstoffverbrauch. Ein weiteres Beispiel ist der „Sicherheitsmodus“ der meisten Windows-Betriebssysteme.
  • Ausfallsichere Systeme werden dann sicher, wenn sie nicht funktionieren. Viele medizinische Systeme fallen in diese Kategorie. Beispielsweise kann eine Infusionspumpe ausfallen. Solange sie die Pflegekraft alarmiert und die Pumpfunktion einstellt, besteht keine Lebensgefahr, da ihr Sicherheitsintervall ausreichend Zeit für eine menschliche Reaktion bietet. Ähnlich verhält es sich mit der Steuerung von Industrie- oder Haushaltsbrennern: Sie kann ausfallen, muss aber in einem sicheren Modus reagieren (d. h. die Verbrennung bei Fehlererkennung abschalten). Bekanntermaßen sind Atomwaffensysteme , die auf Befehl gestartet werden, ausfallsicher, da ein Start nicht befohlen werden kann, wenn die Kommunikationssysteme ausfallen. Auch die Eisenbahnsignaltechnik ist ausfallsicher ausgelegt.
  • Ausfallsichere Systeme gewährleisten maximale Sicherheit auch dann, wenn sie nicht funktionieren. Beispielsweise entriegeln sich ausfallsichere elektronische Türen bei Stromausfall, während ausfallsichere Türen verriegeln und so einen Bereich sichern.
  • Ausfallsichere Systeme funktionieren auch bei einem Systemausfall weiter. Ein Beispiel hierfür ist der Autopilot eines Flugzeugs . Im Falle eines Ausfalls bliebe das Flugzeug steuerbar, sodass der Pilot die Kontrolle übernehmen, den Flug beenden und sicher landen könnte.
  • Fehlertolerante Systeme verhindern Betriebsausfälle bei auftretenden Fehlern. Ein Beispiel hierfür sind Steuerungssysteme für herkömmliche Kernreaktoren . Üblicherweise werden Fehler toleriert, indem mehrere Computer die Systemkomponenten kontinuierlich testen und bei Bedarf Ersatzkomponenten zuschalten. Solange fehlerhafte Teilsysteme im Rahmen der regulären Wartungsintervalle ausgetauscht oder repariert werden, gelten diese Systeme als sicher. Computer, Stromversorgungen und Bedienterminals müssen in diesen Systemen redundant ausgelegt sein.

Softwareentwicklung für sicherheitskritische Systeme

Die Softwareentwicklung für sicherheitskritische Systeme ist besonders anspruchsvoll. Drei Aspekte können die Softwareentwicklung für lebenswichtige Systeme unterstützen: Erstens Prozessentwicklung und -management. Zweitens die Auswahl geeigneter Werkzeuge und Umgebungen für das System. Dies ermöglicht es dem Systementwickler, das System durch Emulation effektiv zu testen und seine Wirksamkeit zu überprüfen. Drittens die Einhaltung aller rechtlichen und regulatorischen Anforderungen, wie beispielsweise der Anforderungen der Federal Aviation Administration (FAA) für die Luftfahrt. Die Festlegung eines Standards, nach dem ein System entwickelt werden muss, zwingt die Entwickler zur Einhaltung der Anforderungen. Die Avionikindustrie hat erfolgreich Standardmethoden für die Entwicklung lebenswichtiger Avioniksoftware etabliert . Ähnliche Standards existieren für die Industrie im Allgemeinen ( IEC 61508 ) sowie speziell für die Automobilindustrie ( ISO 26262 ), die Medizintechnik ( IEC 62304 ) und die Nuklearindustrie ( IEC 61513 ). Der Standardansatz besteht darin, das System sorgfältig zu codieren, zu prüfen, zu dokumentieren, zu testen, zu verifizieren und zu analysieren. Ein anderer Ansatz ist die Zertifizierung eines Produktionssystems und eines Compilers und die anschließende Generierung des Systemcodes anhand der Spezifikationen. Ein anderer Ansatz verwendet formale Methoden , um Beweise dafür zu generieren , dass der Code die Anforderungen erfüllt. [ 12 ] Alle diese Ansätze verbessern die Softwarequalität in sicherheitskritischen Systemen, indem sie manuelle Schritte im Entwicklungsprozess testen oder eliminieren, da Menschen Fehler machen und diese Fehler die häufigste Ursache für potenziell lebensbedrohliche Fehler sind.

Beispiele für sicherheitskritische Systeme

Infrastruktur

Medizin

Quelle: [ 13 ]

Die technologischen Anforderungen können über die Vermeidung von Ausfällen hinausgehen und sogar die medizinische Intensivpflege (die sich mit der Heilung von Patienten befasst) sowie die Lebenserhaltung (die der Stabilisierung von Patienten dient) erleichtern .

Kerntechnik

Öl- und Gasförderung

Quelle: [ 16 ]

Erholung

Transport

Eisenbahn

Quelle: [ 17 ]

Automobil

Quelle: [ 19 ]

Luftfahrt

Quelle: [ 20 ]

Raumfahrt

Quelle: [ 21 ]

Siehe auch

Referenzen

  1. ^ JC Knight (2002). „Sicherheitskritische Systeme: Herausforderungen und Richtungen“ . IEEE. S.  547–550 .
  2. ^ „Sicherheitskritisches System“ . encyclopedia.com . Abgerufen am 15. April 2017 .
  3. ^ Sommerville, Ian (2015). Software Engineering (PDF) . Pearson India. ISBN 978-9332582699Archiviert vom Original (PDF) am 17.04.2018 . Abgerufen am 18.04.2018 .
  4. ^ Sommerville, Ian (24.07.2014). „Kritische Systeme“ . Eine Buchwebsite von Sommerville . Archiviert vom Original am 16.09.2019 . Abgerufen am 18. April 2018 .
  5. ^ „FAQ – Ausgabe 2.0: E) Schlüsselkonzepte“ . IEC 61508 – Funktionale Sicherheit . Internationale Elektrotechnische Kommission . Archiviert vom Original am 25. Oktober 2020. Abgerufen am 23. Oktober 2016 .
  6. ^ „Teil 1: Wichtige Hinweise“ (PDF) . Kompetenzmanagement für sicherheitsrelevante Systeme . Vereinigtes Königreich: Health and Safety Executive . 2007. Archiviert vom Original (PDF) am 1. November 2019. Abgerufen am 23. Oktober 2016 .
  7. ^ FAA AC 25.1309-1 A – Systemdesign und -analyse
  8. ^ Bowen, Jonathan P. (April 2000). „Die Ethik sicherheitskritischer Systeme“ . Communications of the ACM . 43 (4): 91–97 . doi : 10.1145/332051.332078 . S2CID 15979368 . 
  9. ^ CCPS in Zusammenarbeit mit dem Energy Institute (2018). Bow Ties in Risk Management: A Concept Book for Process Safety . New York, NY und Hoboken, NJ: AIChE und John Wiley & Sons . ISBN 9781119490395Die
  10. ^ Thompson, Nicholas (21.09.2009). „Im Inneren der apokalyptischen sowjetischen Weltuntergangsmaschine“ . WIRED .
  11. ^ "Definition fail-soft" .
  12. ^ Bowen, Jonathan P.; Stavridou, Victoria (Juli 1993). „Sicherheitskritische Systeme, formale Methoden und Standards“. Software Engineering Journal . 8 (4). IEEE/BCS: 189–209 . doi : 10.1049/sej.1993.0025 . S2CID 9756364 . 
  13. ^ „Design von Sicherheitssystemen für Medizinprodukte: Ein systematischer Ansatz“ . mddionline.com . 24.01.2012. Archiviert vom Original am 03.09.2017 . Abgerufen am 18.12.2013 .
  14. ^ Anderson, RJ; Smith, MF, Hrsg. (September–Dezember 1998). „Sonderausgabe: Vertraulichkeit, Datenschutz und Sicherheit von Gesundheitssystemen“ . Health Informatics Journal . 4 ( 3–4 ).
  15. ^ „Sicherheit von Kernreaktoren“ . world-nuclear.org . Archiviert vom Original am 18.01.2016 . Abgerufen am 18.12.2013 .
  16. ^ Step Change in Safety (2018). Leitfaden für Fachkräfte im Bereich Qualitätssicherung und Verifizierung . Aberdeen: Step Change in Safety.
  17. ^ „Sicherheitskritische Systeme im Schienenverkehr“ (PDF) . Rtos.com . Archiviert vom Original (PDF) am 19.12.2013 . Abgerufen am 23.10.2016 .
  18. ^ a b Wayback Machine
  19. ^ „Sicherheitskritische Fahrzeugsysteme“ . sae.org .
  20. ^ Leanna Rierson (07.01.2013). Entwicklung sicherheitskritischer Software: Ein praktischer Leitfaden für Luftfahrtsoftware und die Einhaltung von DO-178C . CRC Press. ISBN 978-1-4398-1368-3Die
  21. ^ „Anforderungen und Richtlinien zur Bewertung der menschlichen Beanspruchung von Raumfahrtsystemen“ (PDF) . NASA-Verfahren und -Richtlinien . 19. Juni 2003. NPG: 8705.2. Archiviert vom Original (PDF) am 17. März 2021. Abgerufen am 23. Oktober 2016 .

Archiviert am 15.07.2020 in der Wayback Machine