Systemy safety-critical - wszystkie wpisy

Nie każdy system jest tak samo krytyczny dla bezpieczeństwa. Nawet jeżeli wiele różnych systemów znajduje się na przykład w samolocie, nie oznacza to, że każdy z nich został wykonany wykorzystując tak samo rygorystyczne techniki. W końcu inaczej podejdziemy do tworzenia systemu sterowania lotem, a inaczej do systemu infotainment wyświetlającego pasażerom filmy podczas lotu. W tym artykule przyjrzymy się jakie poziomy bezpieczeństwa zostały zdefiniowane w różnych normach i czym się kierowano przy ich definiowaniu.

Poziomy w różnych normach

Poszczególne normy mają różną ilość poziomów bezpieczeństwa, różne nazwy i sposoby ich nadawania. Jednak koncepcja pozostaje zawsze bardzo podobna. Im większe niebezpieczeństwo niesie za sobą błędne działanie systemu, tym wyższy poziom, a co za tym idzie bardziej rygorystyczny proces wytwarzania. Najwyższy poziom bezpieczeństwa wiąże się oczywiście z ryzykiem śmierci ludzi, ale także z możliwością zniszczenia mienia o dużej wartości, czy skażenia środowiska. Oto jak do problemu podeszły różne normy.

W normie medycznej IEC 62304 mamy podział na trzy klasy urządzeń:

Klasa bezpieczeństwaOpis
Class ABrak negatywnych skutków
Class BMożliwe lekkie obrażenia
Class CMożliwa śmierć lub poważne obrażenia

Norma lotnicza DO-178C natomiast definiuje pięć poziomów bezpieczeństwa:

Poziom bezpieczeństwaOpis
Level AUtrata życia pasażerów, zniszczenie samolotu
Level BDuży negatywny wpływ na bezpieczeństwo i osiągi samolotu, możliwe poważne obrażenia pasażerów
Level CZnaczne zmniejszenie marginesu bezpieczeństwa pilotów, możliwe lekkie obrażenia pasażerów
Level DNiewielkie zmniejszenie marginesu bezpieczeństwa pilotów, możliwe niedogodności pasażerów i wydłużenie lotu.
Level EBrak negatywnych skutków

Ogólna norma dla urządzeń elektronicznych IEC 61508 definiuje 4 poziomy Safety Integrity Level (SIL). Te same oznaczenia są również wykorzystywane w normach dla pociągów takich jak EN 50128

Poziom bezpieczeństwaOpis
SIL 4Zagrożenie dla życia wielu ludzi
SIL 3Zagrożenie dla życia pojedynczej osoby
SIL 2Zagrożenie poważnego uszczerbku na zdrowiu
SIL 1Zagrożenie drobnego urazu

W normie samochodowej ISO26262 występują bardzo podobne oznaczenia. ASIL od A do D, gdzie D oznacza najwyższy poziom bezpieczeństwa, a A najniższy.  O poziomie decydują trzy czynniki – jak długo jesteśmy narażeni na negatywny efekt (Exposure), jak dobrze jesteśmy w stanie minimalizować jego skutki (Controlability) i jak poważne są jego konsekwencje (Severity).

Istnieje nawet norma bezpieczeństwa dla elektroniki użytkowej takiej jak sterowniki w pralkach, mikrofalówkach, czy kuchenkach gazowych. To IEC 60730:

Klasa bezpieczeństwaOpis
Class CZapobiega szczególnie niebezpiecznym zdarzeniom np. sterownik palnika gazowego
Class BZapobiega niebezpiecznemu działaniu kontrolowanego urządzenia np. blokada bębna pralki po otwarciu drzwi
Class ANie nadaje się do aplikacji bezpieczeństwa

W każdym z powyższych przypadków do określenia wymaganego poziomu bezpieczeństwa, należy wykonać analizę ryzyka. Polega ona w skrócie na określeniu możliwych błędów w działaniu systemu i ich skutków.

Prawdopodobieństwo wypadku

Poziomy bezpieczeństwa często wiążą się z dopuszczalnym prawdopodobieństwem wystąpienia niebezpiecznego wypadku. Im wyższy poziom bezpieczeństwa, tym niższe dopuszczalne prawdopodobieństwo. Wartości te mogą być różne dla urządzeń pracujących bez przerwy niż dla takich, które są włączane na stosunkowo krótki czas. Na przykład norma IEC 61508 definiuje następujące zakresy dla pracy ciągłej:

PoziomPrawdopodobieństwo wypadku na godzinę
SIL 410-8 - 10-9
SIL 310-7 - 10-8
SIL 210-6 - 10-7
SIL 110-5 - 10-6

i dla przerywanej:

PoziomPrawdopodobieństwo wypadku
SIL 410-4 - 10-5
SIL 310-3 - 10-4
SIL 210-2 - 10-3
SIL 110-1 - 10-2

Należy tutaj zaznaczyć, że te prawdopodobieństwa nie odnoszą się do wszystkich możliwych błędów, a tylko do tych powodujących niebezpieczny wypadek. Systemy safety-critical są specjalnie projektowane w taki sposób, aby błąd nawet jeśli wystąpi, nie powodował wypadku.

Wpływ poziomu bezpieczeństwa na projekt

Wiemy już jakie są poziomy bezpieczeństwa według poszczególnych norm i jakim zagrożeniom odpowiadają. Wiemy również jakie wartości liczbowe powinny spełniać. Tutaj pojawia się bardzo ważne pytanie. W jaki sposób mamy zapewnić odpowiednio niskie prawdopodobieństwo wystąpienia wypadku? Przecież nie da się tego w żaden sposób zaplanować ani zmierzyć podczas trwania projektu. Wartości te możemy poznać dopiero jeśli dysponujemy danymi statystycznymi działającego produktu. Dlatego najlepsze co możemy zrobić, to wzorować się na istniejących systemach, które osiągnęły pożądane wskaźniki bezpieczeństwa i wykorzystywać te same dobre praktyki. A co to za praktyki? O tym w kolejnym wpisie.

 

Systemy safety-critical - Nawigacja