Säkerhetsanalyser Gränssnitt Info-flöden Händelsekedjor Tillståndsmodeller Komponent Deduktiv analys (bakåt i tiden) Induktiv & Deduktiv Induktiv analys (framåt i tiden) HAZOP CHAZOP FFA SDA FTA CCA SMHA ETA FMEA FMECA Riskkälla Riskkälla Olycka Riskkälla Olycka Felkälla Felyttring Felmod/Feleffekt Traditionella systemsäkerhetsmetoder 1
Säkerhetsanalyser Styrflöden Gränssnitt Info-flöden Händelsekedjor Tillståndsmodeller Komponent Deduktiv analys (bakåt i tiden) Induktiv & Deduktiv Induktiv analys (framåt i tiden) STAMP HAZOP CHAZOP FFA SDA FTA CCA SMHA ETA FMEA FMECA BidragFaktor Riskkälla Riskkälla Olycka Riskkälla Olycka Felkälla Felyttring Felmod/Feleffekt Ny analysmetod: STAMP 2
Riskkällor-Säkerhetskrav-Säkerhetsrestriktioner Riskkälla (hazard) Tåg startar med öppen dörr Dörr öppnas då tåget i rörelse Dörr öppnas då tåget ej vid plattform Dörr kan ej öppnas vid nödutrymning Säkerhetskrav Tåg skall inte kunna Dörr skall inte kunna Dörr skall inte kunna Dörr skall kunna Designrestriktioner Tåg skall ej kunna sättas i rörelse om någon dörr ostängd Dörr skall förbli stängd då tåget satts i rörelse Dörr skall kunna öppnas först då tåget stannat vid plattform Mekanism skall finnas för att kunna öppna dörr för nödutrymning 3
STAMP Traditionella metoder för säkerhetsanalys Övergripande systemsyn, dvs top-down (ej bottom-up som FMECA) Lednings- o styrflöden fokuseras (dvs control flows snarare än händelsekedjor) Mer generell än HAZOP. analyserar avvikelser i info-flöden o systemvariabler) Brister i adm. hantering, interaktion, pgmvarustyrning belyses (utöver olycksförlopp o defekter i enskild komponent) Vägleder var djupare analys kan vara befogad. (som Bidragande faktorer/procedurer spåras upp o konkretiseras (odokumenterade/förändrade förutsättningar, raxis som alltmer kommit att avvika från skriftliga instruktioner). 4
STPA/STAMP säkerhetsanalys m a p styrflöden Identifiera riskkällor (hazards) Översätt dessa till högnivåkrav samt säkerhetsrestriktioner. Identifiera den grundläggande hierarkiska styr-/ledningsstrukturen (komponenter kanaler för formell ledning/kommunikation) Undersök för varje nivå: Existerande säkerhetsrestriktioner (m a p systemarkitektur o -drift) Identifiera eventuella restriktioner som är otillräckliga (t ex bristfällig/obefintlig styr-/återmatningsflöde) Utred orsak till identifierade brister Åtgärda identifierade brister (utöka styrstrukturen) Undersök huruvida styrstrukturen kan degradera över tiden. STPA STAMP STPA 5
Principskiss över grundläggande styrmekanismer (Model of a Basic Control Structure) Modell över Processen Modell över Automationen Sensorer Avlästa variabler Process input Operatör / Övervakare Modell över Processen Visar Styr Modell över Automationen Datoriserat Styrsystem Processmodell Interfacemodell Datoriserat presentations- & beslutsstöd Aktuatorer Styrd process Satta variabler Avlästa variabler Process output Störningar Process input Processmodellen skall ange: - Processvariablernas inbördes relationer - Aktuellt status (processvariablernas värden) - Det sätt på vilket statusförändringar åstadkommes Processmodell Interfacemodell Sensorer Styrd process Störningar Operatör / Övervakare Aktuatorer Satta variabler Process output 6
Modeling Accidents Using STAMP Three types of models are used: Static safety control structure Dynamic safety control structure Shows how control structure changed over time Behavioral dynamics Dynamic processes behind changes, i.e., why the system changed over time 7 Copyright Nancy Leveson, Aug. 2006
Inga-Lill Copyright Bratteby-Ribbing, Nancy Leveson, AK Gem, FMV Aug. 08-02-14 2006 8
9 Copyright Nancy Leveson, Aug. 2006
Simplified System Dynamics Model of Columbia Accident 10 Copyright Nancy Leveson, Aug. 2006
11 Copyright Nancy Leveson, Aug. 2006
Copyright Nancy Leveson, Aug. 2006 12
Copyright Nancy Leveson, Aug. 2006 13
Varför STAMP? För system-av-system, där det ingår mer eller mindre oberoende system från olika leverantörer bestående av utrustning o personal från olika organisationer/myndigheter med styr- och ledningskommunikation på alla nivåer via personella-organisatoriska-tekniska ledningskanaler samt med en ökande samverkan mellan länder med skilda ledningssystem behöver vi en systemmodellering som beaktar ledning-styrning-återmatning hela vägen upp i systemhierarkien! Ett komplement till de traditionella systemsäkerhetsmetoderna, som verkar på enskild system- eller komponentnivå. 14
Efterföljande bilder: Ytterligare några ex på två av STAMPs tre olika modelleringsvarianter 15
Example Control Structure 16
Hierarchical Control Structure Air Force National Command Authority Combined Forces Air Component (CFAC) Joint Chiefs of Staff Commander in Chief of Europe OPC Command (Combined Task Force) Incirlik JSOC (JOIC) Communication Channel Control Channel Incirlik Zahku Army Diyarbakir Military Coordination Center Mission Director ACE Staff Controllers MCC Senior Director ASO TAOR Controller Enroute Controller AWACS Fig 1 enl Leveson: The Analysis of a Friendly Fire Accident F-15 lead pilot F-15 wing pilot 17 Black Hawk pilots
System-dynamisk modell (från MIT Management School) Budget cuts - Budget cuts directed towards safety Priority of safety programs External pressure - Launch rate Performance pressure System safety effort - Success rate - - Limits to success Expectations Success 18 Rate of safety increase Rate of complacency Complacency Perceived safety Nicolas Dulac Safety Accident rate Risk -