Hasardidentifikasjon. Hvordan finne ut hva som kan gå GALT FØR det går galt.

Transkript

1 Hasardidentifikasjon Hvordan finne ut hva som kan gå GALT FØR det går galt. 1

2 Hasard (trussel, uønsket hendelse) 2 Hendelse/situasjon som potensielt kan medføre skade på mennesker eller miljø. Bilkollisjon, lynnedslag, flystyrt. Feil på bremser, signalfeil på toglinje. Feil informasjon om kjøreretning, tillatt hastighet er angitt feil, etc. Assosiert med hver av disse hasardene er en risiko, som karakteriseres ved sannsynligheten for at hendelsen skal inntreffe og dens sannsynlige konsekvenser.

3 Vanlige metoder for hasardidentifikasjon Hvordan identifisere hva som kan gå galt? De to mest brukte analyse teknikkene er: Failure Mode Effect Analysis (FMEA/FMEA): Strukturert gjennomgang av alle enheter (komponenter / funksjoner) Gjennomføres av en eller flere personer Hazard and Operability Studies (HazOp): Styrt brainstorming med 4-8 personer Tilpasses kontekst 3

4 Mange typer grunnlagsmateriale For eksempel: Kravdokumenter Tekniske tegninger Data/kommandoflyt Brukergrensesnitt Meldingssekvensdiagrammer Kodestruktur Kode Tilstandsmaskiner mm 4

5 FME(C)A 5 Går systematisk igjennom alle komponenter og funksjoner. For hver komponent/funksjon identifiseres: alle mulige feilmåter (feilmodier), mulige årsaker til hver feilmåte, mulige konsekvenser, både lokalt og for systemet som helhet, av hver feilmåte, mulige risikoreduserende aksjoner. I FMECA vil man også klassifisere feilene i henhold til sannsynlighet og alvorlighet (criticality). Teknikken kan benyttes ved ulike faser i utviklingsprosjektet.

6 FMEA Eksempel 1 ID # Enhet Feilmodus Årsak Lokal effekt System effekt Tiltak 1 Bryter som registrerer om utstyr er på plass Indikerer åpen når den skulle indikert lukket 2 Indikerer lukket når den skulle indikert åpen. 1. Brudd 2. Ekstrem temperatur 1. Kortslutning i bryter 2. Høy spenning Detekterer ikke at utstyr er på plass. System indikerer feilaktig at utstyr er på plass. Umulig å bruke maskin, system er failsafe. Maskin tillates brukt selv om utstyr ikke er på plass, system er unsafe. Bruk bryter av høy kvalitet. Preventivt vedlikehold og jevnlige inspeksjoner. Legg til tilleggskontroller? 6

7 FMEA - kommentarer 7 Kan utføres av grupper eller av en enkelt person, men... Krever god forståelse av systemet Sentralt for å kunne identifisere hva som kan gå galt konsekvenser I grupper bør 1 være djevelens advokat Potensielt svært arbeidskrevende fordi den går igjennom mange detaljer, også mange som ikke er kritiske (fordi det er vanskelig på forhånd å avgjøre hva som er kritisk) Gir en systematisk oversikt over feilene i et system og er en god start for mer kvantitative analyser. Svært effektiv for systemer som mest sannsynlig vil svikte pga feil i enkeltkomponenter. Derimot ingen god analysemetode for systemer der fellesfeil (common cause failures) anses som et betydelig problem. Kan utføres i alle utviklingsfaser, og på basis av mange forskjellige modeller/dokumenter

8 8 Hazard and Operability Studies (HazOp) Utviklet innen kjemisk industri på 60-tallet. Brukes i dag mye innen oljeindustrien Strukturert brainstorming. Systematisk gjennomgang av systemet sammen med bruk av dedikerte ledeord og attributter som gir en styrt assosiasjonsprosess. En HazOp analyse blir vanligvis utført av en gruppe på 4-8 personer med detaljert kunnskap om systemet som analyseres. Ledes av en erfaren Hazop-leder. Må til sammen dekke alle relevante aspekter (system-eiere, brukere, utviklere og eksperter). HazOp har blitt tilpasset en rekke systemer / kontekster.

9 HazOp - ledeord 9 Opprinnelige ledeord/attributter: Ledeord: Ikke/ingen, mer, mindre, deler av, mer enn, motsatt, andre/annerledes. Disse må tolkes i en software sammenheng. Attributter: trykk, temperatur, nivå, tid, dataflyt, dataverdi. Ledeord tilpasset timingproblemer: Tidlig, sent, før, etter. Ulike ledeord må gis forskjellige fortolkninger avhengig av i hvilken industri de benyttes. Derfor må meningen av hvert ledeord defineres som en del av HazOp studien.

10 Start Forklar overordnet design Litt forenklet fremgangsmåte Velg enhet Velg ledeord + attributt Nei Nei Mulige avvik? Nei Ferdig med alle ledeord/attributter? Ja Ferdig med alle enheter? Ja Undersøk årsaker, konsekvenser, mulig beskyttelse og dokumenter Ja 10 Slutt

11 Valg av ledeord/attributter Veldig viktig Avgjør i stor grad hvilke aspekter man analyserer Må tilpasses den konkrete situasjon men bør velges fra anerkjente sett av ledeord og ikke finnes på i hytt og pine Viktig at formalismen ikke trøtter ut deltagerne 11

12 Eksempel og rapportskjema Del av Ledeord Avvik Konsekvenser Årsaker Foreslått løsning system Alarm Ingen Ingen alarm Person i faresonen varsles ikke 1. Person i faresonen er ikke oppdaget. 2. Person i faresonen er oppdaget, men alarm utløses ikke. 1. Forbedre sensorer 2. Korrigere alarmalgoritme Alarm Feil Feil alarm Person i faresonen varsles ikke og det utløses en annen falsk alarm. 3. Feil i alarmalgoritme 4. Feil i alarmliste henvisning 3. Korrigere alarm algoritme 4. Korrigere liste håndtering/sorte ring 12