1 Analiza systemów krytycznych(c) J. Nawrocki Requirements Eng., Lec. 13 Analiza systemów informatycznych Wykład 7 Analiza systemów krytycznych Copyright, 2005  Jerzy R. Nawrocki HAZOP: Hazard and Operability Study

2 Therac-25 AECL (Atomic Energy Canada Limited)Naświetlanie rentgenowskie – leczenie raka 6 poparzeń (niektóre ze skutkiem śmiertelnym)

3 Therac-25

4 Therac-25

5 Therac-25 Przyczyny tych wypadków:Personel AECL początkowo zaprzeczał błędom Brak niezależnej inspekcji oprogramowania Brak zabezpieczeń sprzętowych Beztroskie powtórne użycie kodu Założono, że sensory zawsze dobrze działają Błąd programistyczny

6 Klasyfikacja dobrych praktykPodst. Pośred. Zaaw. 8 6 5 4 3 2 36 - 6 2 1 3 21 - 1 2 4 9 Dokument SRS Zbieranie wymagań Analiza i negocjacja wymag. Opisywanie wymagań Modelowanie systemu Walidacja wymagań Zarządzanie wymaganiami IW dla systemów krytycznych

7 IW dla systemów krytycznychPraktyki podstawowe Utwórz listę kontrolną dla wymagań dot. bezpieczeństwa Czy system startuje w stanie bezpiecznym? Czy ważne zmienne mają nadane wart. pocz? Co się dzieje, gdy system jest odłączony? Co się dzieje, gdy reakcja jest spóźniona? Jaki wpływ mają nieoczekiwane wejścia? Jak można wycofać komendę operatora? Jak przechodzi się do stanu fail-safe?

8 IW dla systemów krytycznychPraktyki podstawowe Utwórz listę kontrolną dla wymagań dot. bezpieczeństwa Włącz do procesu walidacji zewnętrznych ekspertów HAZOP

9 IW dla systemów krytycznychPraktyki pośrednie Identyfikuj i analizuj hazardy Na podstawie analizy hazardów formułuj wymagania dot. bezpieczeństwa Konfrontuj wymagania funkcjonalne i operacyjne z wymaganiami dot. bezpieczeństwa

10 IW dla systemów krytycznychPraktyki zaawansowane Specyfikuj systemy korzystając z metod formalnych Zbieraj informację o incydentach Wyciągaj wnioski z incydentów Ustanów w organizacji kulturę bezpieczeństwa

11 Agenda Wprowadzenie do HAZOP-u Słowa kluczowe Procedura

12 Wprowadzenie do HAZOP-uAgenda Wprowadzenie do HAZOP-u Słowa kluczowe Procedura

13 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03].

14 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. Urządzenie naświetlające Akcelerator elektronowy Instalacja grzewcza

15 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. Przejazd kolejowy System ster. samolotem

16 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. Istniejących Nowych

17 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. Urządzenie naświetlające Akcelerator elektronowy ~ 200 rad Instalacja grzewcza do 50 oC

18 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. Therac-25 [Leveson93] Akcelerator elektronowy rad Instalacja grzewcza 90 oC A-ła!

19 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. H.= Zb. warunków mogących prowadzić do wypadku [Leveson91] Akcelerator elektronowy rad Urządzenie naświetlające Instalacja grzewcza 90 oC

20 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. O kurcze!

21 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. WC nie działa!

22 Wprowadzenie do HAZOP-uHAZOP: HAZard and OPerability study; ICI Chemicals, UK, ‘70 Cel: ‘wykrycie potencjalnych hazardów i problemów opera-cyjnych wynikających z odchyleń od zamierzeń projektowych zarówno nowych jaki i istniejących instalacji’ [Lihou03]. Zespół ekspertów z różnych dziedzin. Strukturalna burza mózgów.

23 Wprowadzenie do HAZOP-uJak mogą powstać odchylenia? Czy wpływają na bezpieczeństwo i operacyjność? Jakie akcje są konieczne? Opis procesu

24 Zaleta HAZOP-u .. zachęca zespół do zastanowienia się nad mniej oczywistymi sposobami wystąpienia dewiacji (..) W ten sposób analiza staje się czymś więcej niż mechanicznym przeglądem w oparciu o listę kontrolną. [Lihou03]

25 Agenda Wprowadzenie do HAZOP-u Słowa kluczowe Procedura

26 Słowa kluczowe Główne słowa kluczowe: szczególny aspekt zamierzenia projektowego (parametr procesu). UML: State, Action, Transition, Response Bezpieczeństwo: Operacyjność: Flow Isolate Temperature Start-up Pressure Shutdown Level Maintain Corrode Inspect Absorb Drain Purge ...

27 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Zbiór ten jest raczej stały. No: Dany aspekt jest prawie wyeliminowany (zablokowany) lub nieosiągalny. Przykłady: Flow/No Isolate/No Response/No

28 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Less: Wartość parametru jest mniejsza od oczekiwanej. Przykłady: Flow/Less Temperature/Less Throughput/Less

29 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) More: Wartość parametru jest większa od oczekiwanej. Przykłady: Pressure/More Transaction Rate/More

30 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Reverse: Przeciwny kierunek. Przykłady: Flow/Reverse ??? / Reverse

31 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Also: Główne słowo kluczowe jest OK., ale jest coś dodatkowego. Przykłady: Flow/Also = zanieczyszczenie Action/Also = efekt uboczny

32 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy)

33 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Other: Parametr występuje ale w inny sposób. Przykłady: Composition/Other = Nieoczekiwane proporcje Flow/Other = Przepływ do nieprzewidzianego miejsca Value/Other = Przepełnienie

34 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Fluctuation: Właściwe zachowanie osiągane tylko czasami. Przykłady: Flow/Fluctuation = Czasami płynie, czasami nie. Temperature/Fluctuation = Czasami zimne. Throughput/Fluctuation = Czasami za niska.

35 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Early: Za wcześnie. Przykłady: Flow/Early = Produkt płynie za wcześnie. Temperature/Early = Temperatura jest osiągana za wcześnie. State/Early = Za wczesne przejście do stanu

36 Słowa kluczowe Pomoc. słowa kluczowe: możliwe dewiacje (problemy) NoLess More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Late: Za późno. Przykłady: Level/Late = Poziom w zbiorniku osiągnięty za późno. Activity/Late = Czynność wykonana za późno

37 Czy wszystkie kombinacjeSłowa kluczowe No Less More Reverse Also Other Fluctuation Early Late Pomoc. słowa kluczowe: możliwe dewiacje (problemy) Czy wszystkie kombinacje słów mają sens? Temperature/No ??? Corrode/Reverse ??? State/Reverse ???

38 Agenda Wprowadzenie do HAZOP-u Słowa kluczowe Procedura

39 Formularz HAZOP-u Dewiacja Przyczyna Skutki Zabezpiecz. AkcjaE.g. State/No Potencjalna przyczyna dewiacji Konsekwencje wystąpienia dewiacji Istniejące urządzenia zabezpiecza-jące przed wystąpie-niem przyczyny lub łagodzące skutki Akcje jakie należy podjąć, aby usunąć przyczynę lub złagodzić skutki

40 Proces analizy Dewiacja Przyczyna Skutki Zabezpiecz. Akcja State/NoProblem... Wybierz fragment instalacji Dla każdego głównego słowa kluczowego: Dla każdego pomocniczego słowa kluczowego: Dla każdej wykrytej przyczyny dewiacji Pomyśl o skutkach i zapisz je; Zapisz zidentyfikowane zabezpieczenia; Pomyśl o koniecznych akcjach i zapisz je;

41 Zespół HAZOP-u Optimum: 6 osób Maksimum: 9 osóbRówna reprezentacja klienta i dostawcy Eksperci z różnych dyscyplin Skład zespołu: Natychmiasto-we odpowiedzi na pytania zadawane w trakcie spotkania. Przewodniczący i sekretarz

42 Przygotowanie Zbierz dane Przestudiuj tematPodziel instalację na części Oznacz diagramy Ustal listę odpowiednich słów kluczowych Przygotuj formularz HAZOP-u i agendę Przygotuj harmonogram Wyznacz zespół

43 Raport Zakres analizy Krótki opis przeanalizowanego procesuKombinacje słów kluczowych i ich znaczenie Opis Action File (zawiera Action Response Sheets mówiące o czynnościach wykonanych z myślą o zredukowaniu ryzyka; początkowo pusty) Ogólny komentarz (co było niedostępne lub nieanalizowane, o czym zapewniano zespół) Wyniki (rekomendowane działania)

44 Podsumowanie HAZOP jest strukturalną formą burzy mózgów zorientowaną na analizę ryzyka technicznego. HAZOP ma różne zastosowania (np. UML-HAZOP) Można uzupełniać innymi metodami analizy, np. analizą drzew błędów (AND/OR drzewa błędów) Stosowana przez: UK Ministry of Defence, Motorola, firmy chemiczne, etc. At last!

45 Literatura [Lihou03] Mike Lihou, Hazard & Operability Studies, Lihou Technical & Software Services, Bardzo dobre wprowadzenie do HAZOP-u. [Leveson91] N. Leveson, S.Cha, T.Shimeall, Safety verification of Ada programs using software fault trees, IEEE Software, July 1991, Szablony FTA dla Ady. [Leveson93] N. Leveson, C. Turner, An investigation of the Therac-25 Accidents, Computer, July 1993, 

46 Bibliography F. Redmill, M. Chudleigh, J.Catmur, System Safety: HAZOP and Software HAZOP, John Wiley & Sons, 1999, (Amazon.com: $135!) J.Górski, A.Jarzębowicz, Wykrywanie anomalii w modelach obiektowych za pomocą metody UML-HAZOP, IV KKIO, Best Paper Award 

47 ? Pytania? (c) J. Nawrocki Requirements Eng., Lec. 13HAZOP: Hazard and Operability Study

48 Ocena wykładu 1. Wrażenie ogólne (1 - 6) 2. Za szybko czy za wolno?3. Czy dowiedziałeś się czegoś ważnego? 4. Co i jak poprawić?