Funktionale Sicherheit Flashcards
Normenlandschaft
-Nach Chemieunfall in Italien 1976, löste Normungsbestrebungen für
funktionale Sicherheit aus:
IEC 61508: (allgemein)
elektrische, elektronische und
programmierbare elektronische Geräte
ISO 26262: (Automotive)
Funktionale Sicherheit
Definition
Funktionale Sicherheit ist die Fähigkeit eines elektrischen, elektronischen Systems (E/E-System), beim Auftreten.
systematischer Ausfälle (z.B. fehlerhafte Systemauslegung)
zufälliger Ausfälle (z.B. Alterung von Bauteilen)
mit gefahrbringender Wirkung, einen
sicheren Zustand einzunehmen bzw.
in einem sicheren Zustand zu bleiben
Begriffe
Sicherheitsfunktion bzw. funktionale Sicherheitsanforderung:
Funktion eines sicherheitsbezogenen Systems, um im Gefahrfall einen Zustand mit tolerierbarem Restrisiko einzunehmen / aufrecht zu erhalten.
Sicherheitsintegrität:
Wahrscheinlichkeit, dass ein sicherheitsbezogenes System die geforderten Sicherheitsfunktionen unter allen festgelegten Bedingungen anforderungsgemäß ausführt.
Automotive Sicherheits-Integritätslevel (A)SIL
Vier diskrete Stufen zur Festlegung von Anforderungen für die Sicherheitsintegrität der Sicherheitsfunktionen
- SIL 1 bis SIL 4 (IEC 61508)
- ASIL A bis ASIL D (ISO 26262)
Anforderungen (komprimiert) der ISO 26262-3
Analyse der Betriebsbedingungen und Identifikation der Gefahren
- Vollständige Auflistung der Betriebsbedingungen.
- Systematische Ableitung der Gefahren (Auswirkungen) anhand von Systemfehlfunktion für alle Betriebsbedingungen.
Bewertung der Gefahren
- S0-S3: Schwere der potentiellen Gefahr
- E0-E4: Dauer des Ausgesetzseins in der Betriebssituation
- C0-C3: Beherrschbarkeit durch Fahrer und/oder Beteiligte.
Kategorisierung der Gefahren (ASIL)
- ASIL A – D
- QM
Ableitung von Sicherheitszielen für ASIL A - D
Risikograph zur ASIL-Klassifizierung nach ISO/DIS 26262
-Schwere (Severity)
S0: keine Verletzungsgefahr
S1: geringe und mäßige Verletzungen
S2: ernste und möglicherweise tödliche Verletzungen
S3: schwere und wahrscheinlich tödliche Verletzungen
-Häufigkeit des Ausgesetztseins (Exposure)
E1: selten: Situation tritt für die meisten Fahrer seltener
als einmal pro Jahr auf
E2: gelegentlich: Situation tritt für die meisten Fahrer
wenige Male pro Jahr auf
E3: ziemlich oft: Situation tritt für Durchschnittsfahrer einmal
im Monat oder öfter auf
E4: oft: Situation die bei nahezu jeder Fahrt auftritt
-Beherrschbarkeit (Controllability)
C1: einfach beherrschbar:
mehr als 99% der Fahrer oder der anderen Verkehrsteilnehmer
können den Schaden üblicherweise abwenden
C2: durchschnittlich beherrschbar:
mehr als 90% der Fahrer oder der anderen Verkehrsteilnehmer
können den Schaden üblicherweise abwenden
C3: schwierig oder gar nicht beherrschbar:
weniger als 90% der Fahrer oder der anderen Verkehrsteilnehmer
können den Schaden üblicherweise abwenden
ISO 26262-5, Annex C
Zufällige Hardwarefehler
Single point fault (SPF)
Abweichung, die durch keinen Sicherheitsmechanismus abgedeckt ist und sofort zur Verletzung eines Sicherheitsziels führt.
Residual fault (RF)
Teil einer Abweichung, der nicht durch einen Sicherheitsmechanismus abgedeckt wird und welcher zur Verletzung eines Sicherheitsziels führt.
Multiple point fault (MPF)
Abweichung unter mehreren unabhängigen Abweichungen,
welche in Kombination zu einem Mehrfachfehler führt
- Perceived (MPF P) bemerkt
- Detected (MPF D) entdeckt
- Latent (MPF L) schlafend
Tabelle von gefahrbringende Ausfälle nach ISO 26262-5, Annex E und G
ASIL PMHF SPFM LFM
A < 10^-6 – –
B < 10^-7 ≥ 90% ≥ 60%
C < 10^-7 ≥ 97% ≥ 80%
D < 10^-8 ≥ 99% ≥ 90%
SPFM= Single-point fault metric
PMHF= Probabilistic Metric for random Hardware Failures
LFM = Latent-fault metric
Methoden zur Analyse mechatronischer Systeme
Methoden zur ASIL-Klassifizierung
- Gefahren- und Risikoanalyse
- Risikograph
Methoden zur Analyse systematischer Fehler
- Fehlermöglichkeits- und Einflussanalyse (FMEA)
- Fehlerbasierte System-Reaktionsanalyse (FSR)
Methoden zur Analyse zufälliger Fehler
- Fehlermöglichkeits-, Einfluss- und Diagnoseanalyse (FMEDA)
- Fehlerbaumanalyse (FTA)
Gefahren- und Risikoanalyse
Ziel:
- Systematische Ermittlung potentieller
Gefahren- und Risiken des Systems
Methode:
- Definition der Hauptfunktionen des Systems
- Ermittlung der potentiellen Fehlfunktionen
- Gegenüberstellung Nutzungsbedingungen
- Ermittlung der Gefahren und Risiken
Nutzen / Anmerkung:
- Frühzeitige Durchführung ohne Berücksichtigung des Sicherheitskonzeptes (Basis zur Entwicklung des Sicherheitskonzeptes)
Risikograph zur ASIL-Klassifizierung nach ISO 26262
Zielsetzung:
- Systematische Ermittlung des ASIL-Levels auf Basis der Gefahren- und Risikoanalyse
Methodisches Vorgehen:
- Bestimmung des ASIL-Levels anhand der Schwere (Severity), der Häufigkeit des Ausgesetztseins (Exposure), der Beherrschbarkeit (Controllability)
Nutzen/Anmerkung:
- Systematisches und nachvollziehbares Vorgehen
- Basis für Vorgaben zur Methodenanwendung und für Zielwerte der weiteren Entwicklung
Fehlermöglichkeits- und Einflussanalyse (FMEA)
Zielsetzung:
-Systematische Ermittlung potentieller Fehlfunktionen
der Komponenten des Systems
Methode nach VDA 4 Kapitel 3 (2006):
1: Strukturanalyse (Strukturbaum)
2: Funktionsanalyse (Funktionsnetze)
3: Fehleranalyse (Fehlernetze)
4: Maßnahmenanalyse und Bewertung
5: Optimierung (falls notwendig)
Nutzen/Anmerkung:
- Detaillierte Übersicht über Fehlfunktionen
- Maßnahmen für sichere Systemauslegung
- Präzise Benennung der Fehlfunktionen
Fehlerbasierte System-Reaktionsanalyse (FSR)
Zielsetzung:
-Analyse der Diagnose- und Absicherungsmaßnahmen
auf systematische Fehler
Methode:
- Übernahme der Fehlfunktionen aus System-FMEA
für die beteiligten Komponenten
- Bewertung der Entdeckbarkeit von Ausfall-arten unter Berücksichtigung von nutzer-bedingten Interaktionen / Systemzuständen.
Nutzen/Anmerkung:
-Hinweise auf „schlafende Fehler“ im System
-Weitere Gegenüberstellung schlafender Fehler in
Paarvergleichsmatrizen
Failure Modes, Effects and Diagnostic Analysis (FMEDA)
Zielsetzung:
-Analyse der Fehlermodi der an der Sicherheitsfunktion
beteiligten Komponenten
Methode:
- Auflistung aller Abweichungen der an der Sicherheitsfunktion beteiligten Komponenten
- Bewertung der Abweichungen/Ausfälle
- Ermittlung der Fehlerraten
Nutzen/Anmerkung:
- Tabellarisches Verfahren zur Berechnung der FuSiParameter (z.B. PMHF, Fault-Metriken).
- Pro Sicherheitsziel Erstellung einer FMEDA.
