Erstellung von Fehlerbäumen (eBook)

Eine strukturierte und systematische Methode

Wolfgang Freese (Autor)

eBook Download: EPUB

2015 | 1. Auflage
334 Seiten
Carl Hanser Fachbuchverlag
978-3-446-44578-9 (ISBN)

Infos

Die Fehlerbaumanalyse (Fault Tree Analysis FTA) ist eine genormte Methode, um die Zuverlässigkeit von technischen Anlagen und Systemen zu ermitteln. Ausgehend von einem angenommenen schwerwiegenden Ausfallereignis wird mithilfe logischer Verknüpfungen untersucht, welche Teilsysteme daran beteiligt sind. Das vorliegende Buch zeigt erstmals wie Fehlerbäume strukturiert aufgebaut werden können. Mit der beschriebenen Methodik bekommt jeder, der Fehlerbäume bisher nach bestem Wissen und Gewissen erstellt hat, eine systematische Vorgehensweise an die Hand. Wer einen Fehlerbaum qualitativ analysieren und bewerten soll, erhält mit diesem Buch Kriterien, um dies in nachvollziehbarar Weise zu tun. Die im Buch beschriebene Methode ist branchenunabhängig und kann auf jede Art von Fehlerbaumanalyse und Signalverarbeitung angewendet werden. Konkrete Fallbeispiele aus der Automobilindustrie veranschaulichen das vorgestellte Konzept.

Inhalt

Vorwort 6
Einleitung 12
1 Funktionen und Systeme 18
1.1 Definitionen 19
1.2 Standardmodell für technische Systeme 22
2 Beispiel Scheibenwischer 28
2.1 System Fahrer 28
2.2 System Fahrzeug 29
2.3 System Scheibenwischer 32
3 Systematische Herleitung von Top-Ereignissen 36
4 Initiale Fehlerbäume 48
4.1 Fehlerfälle von Signalen 49
4.1.1 Digitale Signale 49
4.1.2 Analoge Signale 51
4.1.3 Pulsweitenmodulierte Signale 52
4.1.4 Kommunikation 52
4.1.5 Signalrauschen 54
4.2 System Fahrer 54
4.3 System Fahrzeug 60
4.4 System Scheibenwischer 65
4.5 System ECU 67
4.6 Zusammenfassung 70
5 Standard Fault Tree Pattern 72
6 Fehlerbaum des Systems ECU 82
6.1 Das System ECU 83
6.2 Erstellung des Fehlerbaums 86
6.3 Zusammenfassung 100
7 Software Fault Tree 102
7.1 Spezifikation der Softwarekomponente 104
7.1.1 Definition der Funktion 105
7.1.2 Anforderungen an die Sw-Funktion 106
7.1.3 Spezifikation der Sw-Funktion 107
7.2 Top-Ereignis 114
7.3 Erstellung des Fehlerbaums 114
8 Hardware Fault Tree 144
8.1 Spannungsteiler 145
8.2 Tiefpassfilter 164
8.3 Zusammenfassung 175
9 Verification Fault Tree 176
9.1 Review Meeting als Verifikationsmaßnahme 177
9.1.1 Definition der Funktion Verifikation 178
9.1.2 Spezifikation des Systems Review Meeting 181
9.2 Herleitung des Top-Ereignisses 185
9.3 Erstellung des initialen Fehlerbaums 186
9.3.1 Fehlerfälle der Action Item Liste 186
9.3.2 Fehlerfälle des Review Reports 188
9.3.3 Fehlerfälle der Meeting Minutes 189
9.3.4 Initialer Fehlerbaum 189
9.4 Analyse des Systems Review Meeting 190
9.5 Zusammenfassung 225
10 Qualitative Fehlerbaumanalyse 228
11 Sicherheitsmaßnahmen 234
11.1 Sicherheitsmaßnahmen als Ereignisse im Fehlerbaum 234
11.2 Standardisierter Fehlerbaum für Sicherheitsmaßnahmen 241
12 Externe Komponenten 254
13 Qualitätskriterien eines Fehlerbaums 260
14 Elektronisches Lenkradschloss 268
14.1 Funktion und Fahrzeugarchitektur 268
14.2 Gefahrenanalyse und initialer Fehlerbaum 269
14.3 Analyse auf Fahrzeugebene 277
14.4 Analyse des ESCL 298
14.5 Analyse der ECU 305
14.6 Sicherheitsmechanismen 315
14.6.1 Maßnahme auf der Ebene der ECU 316
14.6.2 Maßnahme auf der Ebene des ESCL 321
14.6.3 Überwachung von Eingangssignalen 324
Schlussbemerkung 330
Literaturverzeichnis 332
Index 334

Textauszug

2	Beispiel Scheibenwischer

Es wurde gezielt eine Funktion aus dem Bereich der Automobilindustrie verwendet, welche als hinreichend bekannt vorausgesetzt werden kann. Darüber hinaus darf die Funktion nicht zu komplex sein, denn Fehlerbäume werden sonst sehr schnell sehr umfangreich. Auch die Granularität erwies sich als eine weitere Herausforderung. Einerseits durfte sie nicht zu fein sein, damit die Kernaussagen nicht in der Fülle an Details verloren gehen. Andererseits darf ein Beispiel nicht zu allgemein gehalten werden, denn es soll ja helfen, die Inhalte zu verstehen. Diese Gratwanderung ist hoffentlich gelungen.

Nachfolgend sollen nur die Funktion Regen entfernen und das System Scheibenwischer auf Fahrzeugebene vorgestellt werden. Das Subsystem ECU wird im Detail in Teil 2 auf den unterschiedlichen Ebenen vorgestellt, wenn die entsprechenden Fehlerbäume erstellt werden.

2.1	System Fahrer

Um die Begriffe Funktion und System konsistent zu verwenden, muss man den Fahrer ebenfalls als ein System betrachten, von dem die Gesellschaft erwartet, dass es die Funktion Sicheres Fahren implementiert. Dies ist vielleicht ein etwas ungewohnter Gedanke, aber letzten Endes nur konsequent, wenn man die oben dargestellte Hierarchie betrachtet. Bild 2.1 zeigt das Modell des Systems Fahrer.

Bild 2.1 Das System Fahrer enthält die Komponente Reagiere auf Regen, um die Funktion Sicheres Fahren zu implementieren

Das System Gesellschaft erwartet vom Subsystem Fahrer die Implementierung der Funktion Sicheres Fahren. Das System Fahrer erwartet daraufhin vom Subsystem Fahrzeug die Funktion Regen entfernen als eine von mehreren Funktionen (neben Bremsen, Blinken oder Lenken), um die Funktion Sicheres Fahren umsetzen zu können. Diese Betrachtung hilft, die Anforderungen an Systeme und Funktionen auf den unterschiedlichen Ebenen systematisch zu strukturieren, was wiederum dazu führen wird, dass die Qualität der Sicherheitsanalysen deutlich verbessert wird.

Eine detaillierte Beschreibung der Ein- und Ausgangssignale des Systems Fahrer erfolgt zu einem späteren Zeitpunkt, wenn es darum geht, den initialen Fehlerbaum herzuleiten (siehe Kapitel 6).

2.2	System Fahrzeug

Das System Fahrer erwartet vom System Fahrzeug, dass die Funktion Regen entfernen implementiert wird. Daher muss das System Fahrer zunächst die Anforderungen an diese Funktion spezifizieren1.

Anforderungen an die Funktion Regen entfernen Die Funktion soll vier unterschiedliche Betriebszustände bereitstellen: LEVEL_0: Es wird kein Regen von der Frontscheibe entfernt (Funktion inaktiv) LEVEL_1: Es wird bis zu 15 mm/h Regen von der Frontscheibe entfernt.1 LEVEL_2: Es wird bis zu 45 mm/h Regen von der Frontscheibe entfernt. LEVEL_3: Es wird bis zu 90 mm/h Regen von der Frontscheibe entfernt. Der Fahrer soll jederzeit jeden Betriebszustand aktivieren können, wenn die Zündung eingeschaltet ist. Die Funktion muss sich im Betriebszustand LEVEL_0 befinden, solange die Zündung nicht eingeschaltet ist. Jede Anforderung des Fahrers soll innerhalb von maximal 100 ms vollständig umgesetzt werden.

Vom System Fahrzeug wird erwartet, dass es diese Anforderungen erfüllt. Wie immer gibt es nicht das System, um eine Funktion zu implementieren. Die Definition des Systems als technische Lösung für ein Problem (die Funktion zur Verfügung zu stellen) ist ja gerade der spezifische Ansatz eines Anbieters, dem Kunden die gewünschte Funktionalität zu liefern. Es ist einleuchtend, dass es nicht eine einzelne, sondern unterschiedliche Möglichkeiten gibt, eine Funktion zu implementieren. Bild 2.2 zeigt eine einfache Lösung des Systems Fahrzeug, die hier verwendet werden soll. Es enthält neben dem Subsystem Scheibenwischer, das die gewünschte Funktion implementiert, weitere Subsysteme, die unmittelbar benötigt werden. Darüber hinaus sind im Fahrzeug existierende Subsysteme, wie etwa der Motor und die Beleuchtung, aus Gründen der Übersichtlichkeit nicht dargestellt.

Bild 2.2 Das System Fahrzeug implementiert die Funktion Regen entfernen

Auf Fahrzeugebene implementiert das Subsystem Scheibenwischer die Funktion Regen entfernen. Es nimmt die Anforderung des Fahrers entgegen (Input Data) und entfernt die gewünschte Menge Regen in x ml/h (Output Data). Zu diesem Zweck werden weitere Fahrzeugressourcen benötigt, vor allem die Batterie und die Anbindung an die Fahrzeugmasse, aber auch Kabelbäume und Steckersysteme. Diese Subsysteme sind in Bild 2.2 als ein einzelner separater Block dargestellt, was aus Sicht des Systemmodells nicht ganz vollständig ist, weil der Zusammenhang fehlt. Das Diagramm ist an dieser Stelle bewusst vereinfacht worden, da die fehlenden Details für die weiteren Analysen nicht benötigt werden. Den Block Ressourcen im Fahrzeug gänzlich wegzulassen wäre allerdings zu riskant, weil damit dann auch die grundsätzliche Information fehlt, dass es „da noch etwas gibt, das Einfluss auf die Funktion haben könnte“.

In Vorbereitung auf Fehlerbaumanalysen ist es stets ratsam, in dieser Weise vorzugehen. Nicht benötigte Informationen vereinfacht darzustellen hilft, sich auf das Wesentliche zu konzentrieren, ohne dass die Kenntnis weiterer Zusammenhänge, die relevant sein könnten, verloren geht.

Das System Fahrzeug muss nun über Anforderungen spezifiziert werden, die gewährleisten, dass die Funktion Regen entfernen vollständig und korrekt implementiert wird. Im Gegensatz zu den Anforderungen an die Funktion enthält die Systemspezifikation Details des Systems, da sie die konkrete technische Lösung beschreibt.

Spezifikation des Systems Fahrzeug Das System Fahrzeug implementiert die Funktion Regen entfernen mittels des Subsystems Scheibenwischer. Das Subsystem Scheibenwischer nimmt die Anforderung des Fahrers entgegen und entfernt die gewünschte Menge Regen von der Frontscheibe. Das Subsystem Scheibenwischer kann vier verschiedene Regenmengen entfernen: Level 0: Es wird kein Regen entfernt (Funktion deaktiviert). Level 1: Es wird 15 mm/h Regen entfernt (+/-10%). Level 2: Es wird 45 mm/h Regen entfernt (+/-10%). Level 3: Es wird 90 mm/h Regen entfernt (+/-10%). Das Subsystem Scheibenwischer nimmt jederzeit jeden Fahrerwunsch entgegen, solange die Zündung eingeschaltet ist. Das Subsystem Scheibenwischer entfernt niemals Regen von der Frontscheibe, solange die Zündung ausgeschaltet ist. Das Subsystem Scheibenwischer verarbeitet keine Anforderung des Fahrers, solange die Zündung ausgeschaltet ist. Das Subsystem Scheibenwischer setzt jede Anforderung des Fahrers innerhalb von maximal 100 ms um.

Durch Vergleich der Systemspezifikation mit den Anforderungen der Funktion kann leicht verifiziert werden, dass das System Fahrzeug die Funktion Regen entfernen über das Subsystem Scheibenwischer vollständig implementiert.

2.3	System Scheibenwischer

Das System Fahrzeug implementiert die Funktion Regen entfernen ausschließlich über das einzelne Subsystem. Hieraus folgt, dass für dieses Subsystem keine separate Funktion spezifiziert werden muss. Mit anderen Worten: Das Subsystem Scheibenwischer muss ebenfalls die Funktion Regen entfernen implementieren. Später wird deutlich werden, dass dies immer dann nicht mehr der Fall ist, wenn eine Funktion durch eine Gruppe von mehreren Subsystemen implementiert wird, weil dann die einzelnen Subsysteme spezielle Teilaufgaben übernehmen. Mit anderen Worten: Sie müssen Teilfunktionen implementieren, welche aus der Hauptfunktion abgeleitet werden.

Bild 2.3 zeigt den inneren Aufbau des Systems Scheibenwischer als Blockdiagramm. Die Anforderung des Fahrers wird über den Wischerhebel aufgenommen, der dementsprechend als Subsystem des Systems Scheibenwischer dargestellt ist. Die Anforderung des Fahrers wird vom Subsystem Wischerhebel an das Subsystem ECU weitergegeben. Das Subsystem ECU liest die aktuelle Position des Wischerhebels ein und generiert daraus das Ausgangssignal zum Subsystem Wischermotor. Dieser wiederum steuert das Subsystem Mechanik (Gestänge und Wischerblätter) an, welches letzten Endes durch die bekannte Wischbewegung den Regen von der Frontscheibe entfernt.

Bild 2.3 Das System Scheibenwischer implementiert die Funktion Regen entfernen

In der Spezifikation des Systems Fahrzeug sind die Anforderungen an das Subsystem Scheibenwischer definiert. Diese Anforderungen definieren eine Funktionalität, die das System Fahrzeug erwartet, und die vom Subsystem Scheibenwischer implementiert werden muss. Auf der nächsten Ebene wird das Subsystem Scheibenwischer zum System Scheibenwischer, welches nun wiederum aus Subsystemen besteht, so dass sich der Vorgang wiederholt. Für jedes Subsystem müssen die Teilfunktionen definiert werden, aus denen sich die Anforderungen an das jeweilige Subsystem ergeben. Hierbei ist zu beachten, dass für jedes Subsystem neben den benötigten Ein- und Ausgangssignalen lediglich die entsprechende Teilaufgabe beschrieben wird. Details der Subsysteme werden erneut erst in den dazugehörigen Spezifikationen erläutert. Es ist lediglich relevant, dass ein Subsystem eine ihm zugewiesene Teilfunktion implementiert, so dass...

Produkt-Details

• Erscheint lt. Verlag: 7.9.2015
• Verlagsort: München
• Sprache: deutsch
• Themenwelt: Technik
• Schlagworte: Fault Tree Analysis • Fehlerbaumanalyse • Fehlerbäume • FTA
• ISBN-10: 3-446-44578-1 / 3446445781
• ISBN-13: 978-3-446-44578-9 / 9783446445789