DE 
EN 1. Einleitung
Sicherheitsanalysen sind ein essenzieller Bestandteil jedes Entwicklungsprojekts und werden durch gesetzliche sowie normative Vorgaben detailliert geregelt. Insbesondere bei sicherheitskritischen Produkten ist ihre Durchführung unerlässlich, um den Nachweis der funktionalen Sicherheit des Produkts zu erbringen.
Ziel der Sicherheitsanalysen ist es, potenzielle Fehlerquellen zu identifizieren und geeignete Maßnahmen zu erarbeiten, um Sicherheitsrisiken zu minimieren. Dieser Beitrag zeigt auf, welche Sicherheitsanalysen zu welchem Zeitpunkt durchgeführt werden sollten und wie sie in das Systementwicklungs-V-Modell integriert sind.
Die nachstehende Abbildung zeigt eine Variante des Systementwicklungs-V-Modells aus der Literatur. Die Abbildung stellt dar, dass Analysen auf jeder Produktarchitekturebene durchgeführt werden sollten, aber nicht welche. Darum soll es im Abschnitt 2 gehen. Abschnitt 3 fasst die Erkenntnisse zusammen.
2. Sicherheitsanalysen – welche und wann?
Die Sicherheitsanalysen werden auf verschiedenen Produktarchitekturebenen des V-Modells durchgeführt. Sie umfassen:
Gefahren- und Risikoanalyse (GuR)
Die GuR ist die erste Sicherheitsanalyse. Sie wird auf der obersten Produktarchitekturebene durchgeführt wird. Sie identifiziert Gefahren und bewertet Risiken, die von einer Fehlfunktion des Produkts ausgehen können, und definiert funktionale Sicherheitsanforderungen an das Produkt.
Fehlerbaumanalyse (FTA)
Die FTA verfolgt einen deduktiven Ansatz und identifiziert potenzielle Ursachen für sicherheitskritische Ereignisse. Sie bietet:
- Eine systematische Identifikation aller relevanten Einfach- und Mehrfachfehler,
- Priorisierung durch Quantifizierung der Fehlereintrittswahrscheinlichkeiten.
Fehlermöglichkeits- und -Einflussanalyse (FMEA)
Die FMEA betrachtet mögliche Einfachfehler und deren Auswirkungen. Sie beantwortet Fragen wie:
- Welche Fehler können aus welchen Gründen auftreten?
- Welche Auswirkungen haben diese Fehler?
Die FMEA wird auf jeder Produktarchitekturebene nach der Erstellung der Designspezifikation durchgeführt. Sie ist die Grundlage für die Festlegung von Fehlervermeidungsstrategien oder von Sicherheitsmechanismen, die die Auswirkungen eines Fehlers abmildern.
Analyse abhängiger Mehrfachfehler (DFA)
Die DFA ergänzt die FMEA, indem sie Mehrfachfehler untersucht. Wichtige Fragestellungen hierbei sind:
- Gibt es Einfachfehler mit gemeinsamer Ursache?
- Führen Einfachfehler zu Folgefehlern?
Die DFA hilft insbesondere bei der Analyse redundanter Systeme und prüft deren Unabhängigkeit.
Integration ins V-Modell
Im V-Modell werden die Sicherheitsanalysen parallel zur Entwicklung der Produktarchitektur durchgeführt. Beginnend bei der obersten Produktarchitekturebene, werden auf jeder Ebene folgende Schritte durchlaufen:
- Erstellung der Designspezifikation,
- Durchführung der GuR auf der obersten Produktarchitekturebene bzw. einer Kombination aus FTA, FMEA und DFA auf allen darunterliegenden Ebenen,
- Ableitung von Sicherheitsanforderungen aus den Analyseergebnissen und
- Übernahme dieser Sicherheitsanforderungen in die Anforderungsspezifikationen.
Erklärung: Produktarchitekturebenen und Sicherheitsanalysen
Die Produktarchitekturebenen umfassen:
- Systemebene oder Systemebenen: Das Gesamtsystem, das aus Teilsystemen bestehen kann.
- Hardwareebene oder Hardwareebenen: Die elektronischen, elektrischen, mechanischen und sonstigen Hardwarekomponenten, die aus Subkomponenten zusammengesetzt sein können.
- Softwareebene oder Softwareebenen: Die Ebenen der hierarchischen Softwarearchitektur der eingebetteten Software.
Auf jeder Ebene werden Sicherheitsanalysen durchgeführt, um potenzielle Fehlerquellen zu identifizieren und Abstellmaßnahmen abzuleiten. Diese Sicherheitsanalysen werden sequentiell von einer Ebene zur darunterliegenden Ebenen fortgeschrieben.
3. Zusammenfassung
Die Durchführung von Sicherheitsanalysen folgt einem klaren Schema:
- Auf der obersten Ebene wird eine Gefahren- und Risikoanalyse (GuR) erstellt.
- In den tieferen Ebenen folgt eine Kombination aus FTA, FMEA und DFA.
- Die Sicherheitsanforderungen, die sich aus den Sicherheitsanalysen ergeben, werden in die Anforderungsspezifikationen übernommen.
Durch die Einbindung der Sicherheitsanalysen in die linke Seite des V-Modells wird erreicht, dass die Sicherheitsanforderungen zu getroffenen Architektur- und Design-Entscheidungen hierarchisch ermittelt werden. Mit der autoConform®-Software lassen sich diese Analysen vollumfänglich und sehr effizient durchführen.
