Bezpečnostní systém - Safety-critical system

Příklady systémů kritických pro bezpečnost. Ve směru hodinových ručiček odshora: na skleněném kokpitu jednoho C-141 , s kardiostimulátorem , velínu na jaderné elektrárny a Space Shuttle .

Systém kritický pro bezpečnost ( SCS ) nebo životně důležitý systém je systém, jehož selhání nebo nesprávná funkce může mít za následek jeden (nebo více) z následujících výsledků:

  • smrt nebo vážné zranění osob
  • ztrátu nebo vážné poškození zařízení/majetku
  • poškození životního prostředí

Systém související s bezpečností (nebo někdy systém související s bezpečností ) zahrnuje vše (hardware, software a lidské aspekty) potřebné k provedení jedné nebo více bezpečnostních funkcí, ve kterých by selhání způsobilo významné zvýšení bezpečnostního rizika pro lidi nebo životní prostředí zapojen. Systémy související s bezpečností jsou ty systémy, které nemají plnou odpovědnost za kontrolu nebezpečí, jako jsou ztráty na životech, vážná zranění nebo vážné škody na životním prostředí . Porucha systému spojeného s bezpečností by byla nebezpečná pouze ve spojení se selháním jiných systémů nebo lidskou chybou . Některé bezpečnostní organizace poskytují pokyny ohledně systémů souvisejících s bezpečností, například Health and Safety Executive (HSE) ve Spojeném království .

Rizika tohoto druhu jsou obvykle řízena metodami a nástroji bezpečnostního inženýrství . Systém kritický pro bezpečnost je navržen tak, aby ztratil méně než jednu životnost na miliardu (10 9 ) hodin provozu. Mezi typické metody návrhu patří hodnocení pravděpodobnostního rizika , metoda, která kombinuje režim selhání a analýzu účinků (FMEA) s analýzou stromu poruch . Bezpečnostní systémy jsou stále více založeny na počítači .

Režimy spolehlivosti

Pro systémy kritické z hlediska bezpečnosti existuje několik režimů spolehlivosti:

  • Systémy, které jsou provozuschopné při selhání, pokračují v provozu, pokud jejich řídicí systémy selžou. Mezi jejich příklady patří výtahy , plynové termostaty ve většině domácích pecí a pasivně bezpečné jaderné reaktory . Provozní režim při selhání je někdy nebezpečný. Spouštění jaderných zbraní při ztrátě komunikace bylo odmítnuto jako kontrolní systém pro americké jaderné síly, protože je nefunkční: ztráta komunikace by způsobila spuštění, takže tento způsob provozu byl považován za příliš riskantní. To je v kontrastu se smrtelným chováním Perimetrického systému vybudovaného během sovětské éry.
  • Fail-soft systémy jsou schopny pokračovat v prozatímní činnosti se sníženou účinností v případě poruchy. Většina náhradních pneumatik je toho příkladem: Obvykle přicházejí s určitými omezeními (např. Omezení rychlosti) a vedou k nižší spotřebě paliva. Dalším příkladem je „Nouzový režim“, který se nachází ve většině operačních systémů Windows.
  • Systémy zabezpečené proti selhání se stanou bezpečnými, když nemohou fungovat. Mnoho lékařských systémů spadá do této kategorie. Například, infuzní pumpy může selhat, a tak dlouho, jak to upozorní zdravotní sestra, a přestává čerpání, nebude ohrožovat ztrát na životech, protože jeho bezpečnost interval je dostatečně dlouhý, aby umožnil lidskou odpověď. V podobném duchu může selhat průmyslový nebo domácí hořákový regulátor, ale musí selhat v bezpečném režimu (tj. Vypnout spalování, když zjistí chyby). Je známo, že jaderné zbraňové systémy, které se spouští na povel, jsou bezpečné proti selhání, protože pokud komunikační systémy selžou, nelze spustit. Železniční signalizace je navržena tak, aby byla zabezpečena proti selhání.
  • Systémy zabezpečené proti selhání udržují maximální zabezpečení, když nemohou fungovat. Například když se při výpadku napájení odemknou elektronické dveře zabezpečené proti selhání, ty zabezpečené proti selhání se zamknou a udržují oblast v bezpečí.
  • Fail-Passive systémy pokračují v provozu v případě selhání systému. Příkladem je autopilot letadla . V případě poruchy by letoun zůstal v ovladatelném stavu a umožnil pilotovi převzít a dokončit cestu a provést bezpečné přistání.
  • Systémy odolné proti chybám zabraňují selhání služby při zavádění chyb do systému. Příkladem mohou být řídicí systémy pro běžné jaderné reaktory . Normální metodou, jak tolerovat chyby, je nechat několik počítačů nepřetržitě testovat součásti systému a zapínat horké rezervy pro selhávající subsystémy. Dokud jsou vadné subsystémy vyměňovány nebo opravovány v běžných intervalech údržby, jsou tyto systémy považovány za bezpečné. Počítače, napájecí zdroje a řídicí terminály používané lidskými bytostmi musí být v těchto systémech nějakým způsobem duplikovány.

Softwarové inženýrství pro systémy kritické z hlediska bezpečnosti

Softwarové inženýrství pro systémy kritické z hlediska bezpečnosti je obzvláště obtížné. Existují tři aspekty, které lze použít na podporu inženýrského softwaru pro životně důležité systémy. První je procesní inženýrství a management. Za druhé, výběr vhodných nástrojů a prostředí pro systém. To umožňuje vývojáři systému efektivně testovat systém pomocí emulace a sledovat jeho účinnost. Za třetí, řešte veškeré právní a regulační požadavky, jako jsou požadavky FAA pro letectví. Stanovením standardu, pro který se požaduje vývoj systému, nutí konstruktéry dodržovat požadavky. Avionikou průmysl se podařilo výrobu standardních metod pro výrobu životně důležitých avioniky software . Podobné standardy existují pro průmysl, obecně ( IEC 61508 ) a automobilový ( ISO 26262 ), lékařský ( IEC 62304 ) a jaderný ( IEC 61513 ) průmysl konkrétně. Standardní přístup je pečlivě kódovat, kontrolovat, dokumentovat, testovat, ověřovat a analyzovat systém. Dalším přístupem je certifikace produkčního systému, překladače a generování kódu systému ze specifikací. Jiný přístup používá formální metody ke generování důkazů , že kód splňuje požadavky. Všechny tyto přístupy zlepšují kvalitu softwaru v systémech kritických z hlediska bezpečnosti testováním nebo odstraněním manuálních kroků v procesu vývoje, protože lidé dělají chyby a tyto chyby jsou nejčastější příčinou potenciálních život ohrožujících chyb.

Příklady systémů kritických pro bezpečnost

Infrastruktura

Lék

Technologické požadavky mohou jít nad rámec vyhýbání se selhání a mohou dokonce usnadnit lékařskou intenzivní péči (která se zabývá léčením pacientů) a také podporu života (která je pro stabilizaci pacientů).

Jaderné inženýrství

Rekreace

Doprava

Železnice

Automobilový průmysl

Letectví

Vesmírný let

Viz také

Reference

externí odkazy