Risk som 2-dimensionellt begrepp Sannolikheten för olycka (olycksfrekvens, likelihood) samt Konsekvensen av den inträffade olyckan Exempel: Riskreduktion Riskmatris Riskdiagram m i a kvalitativa p 2 parametrar termer för riskmatris med origo. Katastrofal Konsekvens Kritisk Marginell Försumbar Prioritetsordning för röd zon markerad. Icke- region under vissa omständigheter region 7 2 6 5 4 8 Ökande risk Osannolik Försumbar Tillfällig Trolig Vanlig! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 ALARP: As Low As Reasonably Practicable Olycksfrekvens
Tom Pfitzer s riskmatris (Journal of System Safety #2, 2005) CASUALTIES ( C ) 00 0 0 0.09 0.0 0.009 0. 0.0 0.9 0.09 0 0 9 0.9 00 0 0 PROBABILITY (Pb) 0.00 0.0009 0.00 0.0 0.00 0.0 0.0 0.009 0.0 0. 0.0 0. 0.09! Skalfaktor för båda axlarna ger diagonaler med samma risk (Pb*C): Isorisk! Faktor mellan grann-isobarer! Riskvärdet för ett matriselement definierar hela matrisen Aversionsfaktorn kan spela in:! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 2 00 vid ett tillfälle svårare tolerera än samma antal utspritt över systemets hela livstid
Riskhanteringsprocessen. Bestäm riskbudget för det totala systemet 2. Budgetera ut denna på dess övergripande systemfunktioner. Fördela budgeten på ingående (del)system Top-down 0. If bedömd totalrisk > systemets totalbudget then goto else 2 delsystem 4. Genomför (del)systemutveckling under riskhanteringskontroll 5. If bedömd (del)systemrisk > tilldelad riskbudget then goto 4! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 2. Omvärdera total riskbudget goto 4 9. Omförhandla systemfknsinnehåll goto 2 7. Omförhandla budgetfördelning goto 7 9 5 6 Bottom-up 2 0 8 2. Leverera till kund 8. If förändrat systemfknsinnehåll then goto 9 delsystem 6. If " risker > " budget or förändrat # (del)system then goto 7
Risk som -dimensionellt begrepp Konsekvensen av den inträffade olyckan Prioritetsordning vid riskreduktion utan hänsyn till inträffandefrekvens Konsekvens Katastrofal Kritisk Marginell 2 2 2 2 2 Omöjliggör en kostnadseffektiv riskreducering Försumbar X Osannolik Försumbar Tillfällig Trolig Vanlig! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 4 Olycksfrekvens
-dimensionell vy: DO-78B Failure condition: Konsekvens för r flygplan o passagerare av en felyttring i flygplanssystemet SW level: Programvarans bidrag till dessa felyttringar Konsekvens Catastrophic SW level A Prioritet vid riskreduktion: Severe B 2 Major C Minor D 4 No effect E! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 5
Risk som -dimensionellt begrepp Sannolikheten för olycka Prioritetsordning vid riskreduktion utan hänsyn till konsekvensens allvarlighetsgrad Konsekvens X Katastrofal Kritisk Marginell 2 2 2 Även här omöjliggörs en kostnadseffektiv riskreducering Försumbar 2 Osannolik Försumbar Tillfällig Trolig! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 6 Vanlig Olycksfrekvens
-dimensionell vy: IEC 6508 SI: SIL: felfrekvens avseende ett visst säkerhetssystems skyddsfunktionalitet under specificerad tid o föreskrivna villkor (adresserar säkerhetssystemets tillförlitlighet _ej det säkerhetskritiska systemet) Konsekvens = en effekt av det säkerhetskritiska systemet Tolerabla intervall Icke-tolerabla intervall 0-5 0-4 0-0 -2 0 - SIL 4 SIL SIL 2 SIL ~0-9 0-8 0-7 0-6 0-5 Klassning efter det -dim begreppet SI. Felfrekvens resp konsekvens avser olika systemdelar Skyddssystemets felfrekvens /år /h! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 7
Risk som -dimensionellt begrepp En mer detaljerad riskbeskrivning: Olycka! Riskkälleexponering Riskkälla Sannolikheten för att en riskkälla föreligger och att denna leder till olycka, Konsekvensen av den inträffade olyckan samt Riskkälleexponering Konsekvensens allvarlighetsgrad katastrofal Osäkert tillstånd (i vilken grad person-egendom-miljö är utsatt för viss riskkälla) Medger riskreducering m a p parameterar! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 försumbar 8 hög låg otrolig ofta Sannolikhet för olycka
Hur bedöma en programvaras kritikalitet? dvs för realiserad programvara aktiv i ett kritiskt förlopp: Hur avgöra att sannolikheten att stöta på ett fel (defekt) i programvaran vid drift av systemet är tillräckligt låg för att den tolererade olycksrisken för systemet ej skall överskridas? den sannolikhet som högst kan tolereras vid viss allvarlighetsgrad! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 9
Programvarufel - tillförlitlighet felkälla # feltillstånd # felyttring fault error failure Tillförlitlighetsmodeller: Predikteringar baserade på egenskaper hos existerande och likartade program, utvecklingsmiljö, -process Estimeringar genom statistisk analys av felyttringsfrekvenser hämtade från ett stort antal test- eller driftfall (use cases) under statiska förhållanden 0! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0
Estimeringar via Statistisk felanalys Omgivning System Felyttring OK Felyttring Feltillstånd Felkälla Felkälla Feltillstånd Feltillstånd OK Felyttring! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0
Statistisk felanalys -hur många test? F felkvot N antal test (eller tim) P sannolikhet P (0 fel på N test eller tim) = (-F) N 95% sannolikhet (-F) N < 0.05 för lägre felkvot => N < log 0.05 / log (-F) dvs för: # test (eller tim) F=0 - => log 0.05 / log 0.999 > K Kostsamt! F=0-4 => log 0.05 / log 0.9999 > 0K Smärtgräns! F=0-5 => log 0.05 / log 0.99999 > 00K Orimligt!! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0 2
Exempel på felträd Grindar: o Eller -enstaka orsak tillräcklig o Och -flera villkor krävs Olycka / Vådahändelse > = Strategi: -Eliminera eller-grindar -Tillför och-grindar Orsak A > = Orsak B & Orsak C Orsak D Orsak E Orsak F A B P( A & B ) = P( A ) * P( B\ A ) (givet A och B ober.) P( A U B ) = P( A ) + P( B ) - P( A & B )! Inga-Lill Bratteby-Ribbing, KC Ledsyst, FMV 05-09-0