modellbasierte Methode zur Objektivierung der Risikoanalyse nach ISO 26262Eine

Ständer, Tobias

doi:10.24355/dbbs.084-201103230922-0

Published

Eine modellbasierte Methode zur Objektivierung der Risikoanalyse nach ISO 26262

German
English

Die Entwicklung elektrischer Fahrzeugsysteme wird in Zukunft voraussichtlich immer mehr von der ISO 26262 beeinflusst. Eine wesentliche Anforderung der Norm ist die Durchführung einer Gefährdungsidentifikation und Risikobewertung (GuR). Ziel dieser GuR ist es vom zu entwickelnden System ausgehende Gefährdungen zu identifizieren und hinsichtlich ihres Risikopotenzials zu bewerten. Sind potenzielle Gefährdungen erkannt, können diese mittels des in ISO 26262 vorgeschlagenen Ansatzes zur Ableitung eines Automotive Safety Integrity Levels (ASIL) hinsichtlich des von ihnen ausgehenden Risikos bewertet werden. Diese Bewertung basiert in hohem Maße auf der subjektiven - meist konservativen - (Experten-)Einschätzung der den ASIL charakterisierenden Parameter Expositionswahrscheinlichkeit (E), Schadensausmaß (S) und Kontrollierbarkeit (C), weswegen Sicherheitsfunktionen häufig überdimensioniert werden. In dieser Arbeit wird eine Methode beschrieben, wie diese subjektiven Einflüsse durch Simulation und Analyse von Petrinetz-Modellen reduziert werden können. Hierbei wird sich nach intensiver Diskussion der die ASIL-Parameter bestimmenden Faktoren auf die modellbasierte Objektivierung des Parameters E beschränkt. Die Methode und die Struktur der, wie zunächst angenommen, einem deterministischem Verhalten folgenden Modelle werden im Sinne einer Anwendbarkeitsstudie zur Einstufung der Expositionswahrscheinlichkeit exemplarisch angewendet, validiert und plausibilisiert. Im Folgenden wird davon ausgegangen, dass eine Vielzahl von reale Fahrsituationen charakterisierenden Faktoren einem stochastischem Verhalten folgen. In diesem Fall stößt die analytische Berechnung von E an ihre Grenzen, weswegen deren Plausibilität nur noch durch den Vergleich mit herkömmlichen Schätzungen überprüft werden kann. Die entwickelte Methode kann sowohl zu einer ASIL-Reduktion, und damit einhergehenden Einsparpotenzialen bei den Entwicklungskosten, als auch zu einer ASIL-Erhöhung,und damit verbundenem Mehraufwand bei der Entwicklung, führen. In beiden Fällen kann die Methode aufgrund ihres strukturierten modellbasierten Ansatzes helfen die ASIL-Einstufung gegenüber Entscheidungsträgern zu vertreten, wodurch die praktische Verwertbarkeit der Methode gegeben ist.

The development of future electrical systems in motor vehicles is expected to be more and more influenced by the standard ISO 26262. This standard provides requirements for the entire safety lifecycle. One essential requirement of ISO 26262 consists in performing a hazard analysis and risk assessment. The objective of this phase is to identify and categorize the hazards emanating from the item to be developed in terms of their risk potential. Once the hazards have been identified, these can be evaluated in terms of the risk posed by them, using the approach recommended in ISO 26262 to determine an Automotive Safety Integrity Level (ASIL). This assessment is largely based on subjective - mostly conservative - (experts`)estimations of the ASIL-characterizing parameters: probability of exposure (E), severity (S) and controllability (C). This is the reason why safety related systems are often oversized. In this thesis a method is described thanks to which these subjective evaluations can be reduced by simulation and analysis of Petri net models. After an intensive discussion of the ASIL-determining parameters (E, S and C), the scope of the method is limited to the model-based objectification of the parameter E. The developed Petri net models, initially supposed to be obeying a deterministic behavior, are used to determine E and to validate the gleaned values and the correctness of the model against the results of an event tree analysis. Moreover, the determined parameter E is validated with respect to its plausibility by comparing it with the result of an assessment carried out conventionally under the terms of ISO 26262. In the following it is assumed that a large number of factors characterizing real driving situations are following a stochastic behavior. In this case, the analytical calculation of E is limited and the determined values` plausibility can only be validated by comparison with the results of a conventional estimation. The developed method logically can lead to both, an ASIL-reduction, and thus to a reduction of the development costs, as well as an ASIL-increase, and thus to related additional effort in the development. In both cases due to its structured model-based approach, the presented method can back up an ASIL-classification in front of decision-makers. Thus the practical usefulness of the method is given.