Analyse der funktionalen Sicherheit

In der sich schnell entwickelnden Welt der Automobiltechnologie ist die Verbesserung der Sicherheit elektrischer und elektronischer Systeme entscheidend. ISO 26262:2018, die internationale Norm für die Implementierung funktionaler Sicherheit in Straßenfahrzeugen, unterstützt diese Bemühungen. Sie bietet einen umfassenden Rahmen für den Umgang mit den Gefahren, die durch das Fehlverhalten komplexer elektrischer und elektronischer Systeme entstehen.

Im Mittelpunkt dieser Norm steht die funktionale Sicherheitsanalyse (oder Sicherheitsanalyse), ein umfassender Prozess, der Fehler und Ausfälle in Automobilsystemen vor der Implementierung aufdecken soll.

Im traditionellen V-Modell für die Systementwicklung befinden sich die Analysemethoden auf der linken Seite des V. Wird eine agile Methodik verwendet, ist auch die Sicherheitsanalyse ein sich wiederholender Prozess. Die Analyse wird für den Entwurf oder die Architektur auf der Konzept-, System-, Hardware- oder Softwareebene durchgeführt, um die Sicherheitsanforderungen in den jeweiligen Phasen abzuleiten oder zu überprüfen.

Die funktionale Sicherheitsanalyse

Ein entscheidender Aspekt der Sicherheitsanalyse ist die systematische und gründliche Untersuchung des Entwurfs/der Architektur, um mögliche Fehler zu erkennen. Dazu gehört die methodische Analyse des Entwurfs, um mögliche Fehlermodi zu ermitteln und geeignete Gegenmaßnahmen zu ergreifen, um diese effektiv zu bewältigen. Damit soll sichergestellt werden, dass der Entwurf die Sicherheitsanforderungen erfüllt und ausreichend robust ist, um alle erkannten Fehler durch Vorbeugungs-, Erkennungs- und Schadensbegrenzungsstrategien zu bewältigen. Die von der ISO 26262:2018 geforderten Sicherheitsanalyseverfahren umfassen induktive und deduktive Analysen.

Methoden zur Analyse der funktionalen Sicherheit nach ISO 26262 

Die induktive Analyse ist ein Bottom-up-Ansatz, während die deduktive Analyse ein Top-down-Ansatz ist. Beides sind komplementäre Methoden, die notwendig sind, um Sicherheit zu erreichen.

Die ISO-Norm 26262 enthält gemäß der zugewiesenen ASIL bestimmte Leitlinien für diese Analysen. Die induktive Sicherheitsanalyse muss für alle ASIL-Stufen A bis D durchgeführt werden. Die deduktive Analyse ist jedoch nur für ASIL C und D erforderlich. In einer idealen Analyse führen die induktive und die deduktive Analyse zu den gleichen Ergebnissen. Diese systematischen Ansätze bieten einen klaren und logischen Weg zur Ermittlung der Ursachen und zur Entwicklung von Abhilfestrategien. Dies erleichtert die proaktive Identifizierung und das Management von Risiken und verringert die Wahrscheinlichkeit von Systemausfällen. Die Analysen können qualitativ oder quantitativ sein, da die Norm nur auf der Hardware-Ebene eine quantitative Analyse vorschreibt. Zu den Analysemethoden gehören:

Deduktive Analyse

Die deduktive Analyse ist eine Methode zur Ermittlung möglicher Ursachen von Systemfehlern. Sie beginnt mit einem bekannten unerwünschten Ereignis, das oft als Gefahr auf Fahrzeugebene bezeichnet wird (das Top-Level-Ereignis), und erarbeitet rückwärts die Ursachen oder beitragenden Faktoren, die dieses oft als Fehler bezeichnete Ereignis verursachen könnten. Durch die Ermittlung aller möglichen Fehler, die eine Gefahr auf Fahrzeugebene darstellen können, trägt die deduktive Analyse dazu bei, dass kein potenzieller Fehler übersehen wird.

Fehlerbaumanalyse

Die Fehlerbaumanalyse (FTA) in ISO 26262 ist eine der üblichen deduktiven Methoden, um die Ursachen von Systemfehlern zu ermitteln. Die FTA verwendet logische Verknüpfungen wie UND und ODER, um die Pfade, die das Top-Level-Ereignis auslösen, darzustellen. So wird veranschaulicht, wie verschiedene Fehler auf der Basisebene einen Systemausfall verursachen. Die FTA ist im Rahmen der ISO 26262 entscheidend, da sie die Identifizierung und das Management potenzieller Gefahren in Automobilsystemen unterstützt und sicherstellt, dass geeignete Sicherheitsmaßnahmen zur Vermeidung oder Abschwächung von Ausfällen ergriffen werden.

Induktive Analyse

Die induktive Analyse ist eine effektive Methode, um die Auswirkungen eines möglichen Fehlers auf Fahrzeugebene zu ermitteln. Sie beginnt häufig mit einem potenziellen Fehler auf Komponenten-/Subsystemebene und versucht, die Auswirkungen des Fehlers auf Fahrzeugebene zu ermitteln.

Fehlermöglichkeits- und Einflussanalyse

Die Fehlermöglichkeits- und Einflussanalyse (FMEA) nach ISO 26262 ist ein induktiver, strukturierter Ansatz zur Identifizierung und Bewertung potenzieller Fehlermöglichkeiten in elektronischen Fahrzeugsystemen und ihrer Auswirkungen auf die Systemleistung und -sicherheit. Dabei wird jedes Bauteil/Teilsystem systematisch untersucht, um festzustellen, wie es versagen könnte, welche Auswirkungen und Ursachen jedes Versagen haben könnte, und um den geeigneten Sicherheitsmechanismus zu ermitteln, der die Auswirkungen auf Fahrzeugebene abdeckt. Durch die Identifizierung risikoreicher Fehlermodi hilft die FMEA den Ingenieuren bei der Entwicklung und Umsetzung von Abhilfestrategien, um die allgemeine Zuverlässigkeit und Sicherheit des Systems zu verbessern.

Fehlermöglichkeits- und -einflussanalyse und Diagnose

Die Fehlermöglichkeits- und -einflussanalyse (FMEDA) ist eine quantitative, induktive Analyse, die auf der Hardware-Ebene durchgeführt wird. Anhand dieser Methode werden zufällige Hardware-Fehlermetriken ermittelt. Der detaillierte Hardware-Entwurf wird analysiert, um Hardware-Architektur-Metriken zu berechnen, wie z. B. die Single Point Fault Metric und die Latent Fault Metric, um zu überprüfen, ob die Ziele für den jeweiligen ASIL erfüllt werden. Eine weitere Metrik, die berechnet wird, ist die probabilistische Metrik für zufällige Hardwareausfälle. FMEDA erfordert fundierte Kenntnisse in der Hardwareanalyse und stellt ein langwieriges Verfahren dar, das präzise ausgeführt werden muss.

Abhängige Fehleranalyse.

Mit zunehmender Komplexität der Systeme nehmen die Abhängigkeiten zwischen den Systemelementen erheblich zu und können zu abhängigen Fehlern führen. Die Analyse von abhängigen Fehlern (DFA) ist die in ISO 26262 empfohlene Methode zur Identifizierung und Bewertung von Fehlern, die sich auf die Störungsfreiheit und Unabhängigkeit auf verschiedenen Ebenen innerhalb eines Systems auswirken. Die beiden Kategorien von abhängigen Fehlern sind kaskadierende Fehler und Fehler mit gemeinsamer Ursache.

Ein wichtiger Aspekt der DFA ist die Identifizierung von Kaskadenfehlern, bei denen der Ausfall einer Komponente Fehler in anderen Komponenten auslöst, was zu einer Kettenreaktion von Fehlern führt. Ein weiterer wichtiger Aspekt ist die Identifizierung von Fehlern mit gemeinsamer Ursache, bei denen mehrere Komponenten aufgrund einer einzigen Ursache ausfallen, z. B. aufgrund eines gemeinsamen Umweltfaktors oder eines Konstruktionsfehlers. Auch wenn es oft schwierig ist, abhängige Fehler zu beseitigen, zielt die DFA darauf ab, geeignete Strategien zu empfehlen, um ihre Auswirkungen abzuschwächen. Zu diesen Strategien gehört die Einführung von Redundanz und Diversität bei kritischen Architekturelementen und in der Entwicklungsphase.